Comments
Description
Transcript
第3章 個人情報保護法の理解と中小企業における対応 （334KB）
第３章 個人情報保護法の理解と中小企業における対応 165 第１節 本章の概要 1．個人情報の保護に関する法律について 2004 年 4 月 1 日に、完全施行された「個人情報の保護に関する法律」は、部分施行か ら約２年の期間があったにもかかわらず、周知や理解が十分とはいえないまま施行の日 を向かえ、大きな話題となりました。それから約３年を経過した現在では、施行当時の 騒ぎは収まったものの、依然として理解不足による誤解や過剰対応が散見されます。特 に、中小企業においては、一応の対応が終了した大手企業から、取引に関連して個人情 報保護への対応を迫られるというケースが見られます。 本章は、中小企業の皆様に、個人情報保護法の趣旨をご理解いただき、適正な対策を 構築いただけるよう、必要な情報をご提供することを目的としています。 本資料はあくまで、一般例を想定していますので、個別の対応においては、変更が必 要です。また、中小企業における及第点を目指したものですので、大手企業等の場合に は、さらに変更が必要となります。 2．本章の利用について 本章は、実際の利用にあたり、被説明者のニーズに応じて、抜粋して利用することが できるよう、 「第２節 節 個人情報保護の必要性」 「第３節 中小企業における個人情報保護対策」 「第５節 個人情報保護法の解説」 「第４ 個人情報保護対策で利用する調査手 法の解説」の４節で構成しています。 ①「第２節 個人情報保護の必要性」では、 「なぜ保護しなければならないのか？」につ いて個人情報に関する事件事故や個人情報保護への取組状況等をもとに解説しています。 ②「第３節 個人情報保護法の解説」では、 「個人情報の保護に関する法律」を理解する ため、用語の定義を中心に遵守すべき事項の概要を解説しています。 ③「第４節 中小企業における個人情報保護対策」では、対策の構築及び運用に関する 具体的な手順を示しています。 ④「第５節 個人情報保護法対策で利用調査手法の解説」では、第４節の対策を構築す るにあたって実施する調査の具体的な方法を解説しています。 3．本章の構成について 本章は、 「説明資料画面」 （パワーポイント画像を添付したもの。） 「解説」 「利用上の注 意点」により構成しています。 ①「解説」は、説明者が「説明資料画面」を用いて説明する際の内容を示したものです。 ②「利用上の注意点」は、説明者が、 「説明資料画面」を利用して被説明者に説明する場 合の注意点を示したものです。具体的には、 「説明資料画面」の内容の時間的な更新、被 説明者の属性（例えば、業種、地域等）による変更、あるいは、説明にあたっての注意 点を記載しています。 166 第２節 個人情報保護の必要性 1．個人情報保護の必要性 １．個人情報保護の必要性 情報社会の進展に伴い、 個人情報の 重要性 が高まっている。 個人情報をとりまく 環境 が 悪化 している。 ＜発生している問題＞ 個人情報の漏洩（悪意の従業員の存在） 個人情報の悪用（振込詐欺、ネット詐欺） 電子データ上での個人と現実の不整合 個人や企業 が被害を受 けるケース が増加して いる。 振込め詐欺事件被害額：252億円（既遂：21612件、認知：19840件） ※検挙件数2539件・検挙者819人 ＜2005年 警察庁＞ ＮＩＣ 【解説】 1-1．知らないところで個人情報が収集され、利用されています。 クレジットカードやポイントカード等の普及により、企業が個人情報を収集する機 会が急増しています。企業はこうして収集した個人情報を分析し、商品開発や販売戦 略に利用しています。例えば、携帯電話会社は、通話履歴（どの電話番号の人が、何 時、どの電話番号の人に、どれくらいの時間電話したのか）や加入者情報をもとに、 「○ ○割」等の商品プランを開発しています。また、小売店で行われているポイントカー ドサービスでも、購買履歴（だれが、何時、何を買ったのか）を収集し、自社の商品 陳列やダイレクトメールに利用するのはもちろん、メーカー等に販売しているケース もあります。 インターネットの利用についても、登録制のサイトなどでは、アクセス履歴（誰が、 何時、どのサイトを見たのか、何の購入を申し込んだのか）を収集し、上記のポイン トカードサービスのように利用しているケースがあります。 このように、皆さんの知らないところで個人情報は収集され、利用されているのです。 1-2．個人情報の重要性が高まっています。 「電子データ上の個人情報と現実の本人との不整合による不利益」 カード決済やＡＴＭでの入出金のように、人による現金のやり取りではなく、機械 による処理が増えるにあたり、 「本人確認」や「電子データ上での記録」が非常に重要 167 になっています。 例えば、旅行先で帰りの電車の切符を手配する場合、もしクレジット会社にあるあ なたの利用履歴データが、何かのトラブルで与信限度額ギリギリになっていたらどう でしょう。手元にある現金が少なく、カードでの決済しかなかったら、帰りの切符は 買えないかもしれません。あるいは、何らかのトラブルで本人確認に関する情報が誤 っていた場合、たとえ本人であっても、機械は「あなたはご本人ではない」と判断さ れてしまい、切符を買えなくなるかもしれません。このように、電子データ上でのあ なたの個人情報が誤っていることで、現実のあなたが不利益を被る可能性が高くなっ ています。 1-3．個人情報をとりまく環境が悪化しています。 ①「個人情報の漏洩（悪意の従業員の存在）」 先に説明しましたように、企業では多くの個人情報を収集、利用するようになって います。こうした個人情報が適性に管理されていればよいのですが、従業員が顧客デ ータを外部に持ち出し、販売するような事件が多発しています。実際に、Ｌ遊園地で は、委託先の従業員が年間チケットの購入者の情報を持ち出し、名簿業者に販売して 逮捕されました。この他にも、漏えいしたルートの解明までは至っていませんが、企 業から流出した顧客データが多数発見されています。このような傾向は、労使関係の 悪化や雇用条件の多様化等に伴い、益々増加する可能性があります。 ②「個人情報の悪用（振込め詐欺、悪質な勧誘）」 外部に流出した個人情報は、ダイレクトメールや勧誘電話、振り込め詐欺やクレジ ットカード詐欺などに利用されています。 振り込め詐欺は、一時期よりも減少傾向にあるものの、依然として膨大な被害が発 生しています。特に、最近では、マスコミ等において、 「本人確認」を奨励しているこ ともあり、犯罪者が本人に関する情報を提供することで、逆に相手を信じ込ませるこ とができるようになっています。 このため、振り込め詐欺の犯罪者は、以前のように電話帳等を使ってランダムに電 話するのではなく、複数の個人情報が含まれる名簿等を入手し、利用しています。 また、チケット販売会社Ｊ社から個人情報が漏えいした事件では、実際に、数ヶ月 間にわたって、毎日のように消費者金融等から勧誘葉書や電子メールが届き、毎日の ように、数件の電話勧誘が発生しました。毎日数件の消費者金融等からの電話がある というのは、高齢者や女性等にとって精神的な負担は軽いものではありません。 このように、個人情報の利用の増大に関連して、個人や企業が被害を受けるケース が増えていることから、何らかの対策が必要となっているのです。 168 【利用上の注意点】 振り込め詐欺被害の数値は、警察庁のホームページで定期的に公表されている「「振 り込め詐欺（恐喝）」の認知・検挙状況等について」を参照し、最新のものに変更して ください。 ○警察庁のホームページ（http://www.npa.go.jp/） 169 2．個人情報に関連した事件事故の事例 ２．個人情報に関連した事件事故の事例 個人情報に関する事件事故は、悪意のある従業員による犯罪の 個人情報に関する事件事故は、悪意のある従業員による犯罪の ほかに、「不正ソフト」「紛失や置忘れ」「盗難」「目的外利用」等があ る。 公表日 事件事故の内容 10/06 Ａテレビ局の人気番組の取材先店舗の担当者４７名分の氏名や携帯電 話の番号が、制作会社で働いていた派遣社員の私用PCからWinny上に流 出した。9月27日に外部からの指摘を受けて事件が発覚した。 09/21 Ｂ公庫は、Ｃ銀行の２支店において、Ｂ公庫の顧客情報を流用し、ローン の借り換え勧誘が行われていたことから、これらの支店に対して、B公庫融 資の新規受付業務を３ヶ月間停止する措置を決定した。 09/13 ＣＡＴＶ局Ｄ社の委託業者が営業活動中、顧客宅前に止めていた車両内 においてあった顧客管理表を紛失。４世帯分の氏名、住所、電話番号が記 載されていた。 08/10 Ｅ市民病院で、医師が所有するデジタルカメラが外来で紛失した。デジタル カメラには、患者１３名分の皮膚病変や顔の画像や個人情報が記録されて いた。 資料：2006年12月時点での新聞報道、企業による公表等をもとに作成 ＮＩＣ 【解説】 個人情報の利用にあたって発生している事件事故には、 先に説明しましたように悪意 を持った従業員が故意に持出す（内部犯行による窃盗）というケース以外に、以下のよ うなものがあります。 ①不正ソフトによる漏えい 最近は、ファイル交換ソフト（Winny）の利用者がウイルスに感染したことにより、 会社や自宅のパソコン内にある個人情報が外部に流出するケースが増えています。警察 や海上自衛隊、発電所メーカー等の極秘情報の漏えい問題は、まだ記憶にあると思いま す。これらの多くは、自宅のパソコンから流出しているというのも特徴です。こうした、 ファイル交換ソフト以外にも、パソコンがスパイウエアと呼ばれる不正ソフトに感染し て、パソコン内にある個人情報等が外部に持ち出されることもあります。 ②紛失や置忘れによる漏えいや紛失 整理整頓されていないために、保管中に他の書類や電子データといっしょに廃棄して しまったり、帰宅途中に鞄ごと置き忘れてしまい、紛失や漏えいしてしまうというケー スです。置き忘れについては、泥酔が原因というものも少なくありません。 ③盗難 営業担当者の外訪時や工事担当者の現場作業に伴い、車上あらしや引ったくりにより、 車ごと、あるいは鞄ごと盗まれるようなケースです。車での帰宅途中に買い物に立ち寄 170 り、車上あらしにより盗難されるというケースも多いようです。 ④目的外利用 本人が知っている目的以外に勝手に利用するというのも、「個人情報の保護に関する 法律」に関連して重大な違反行為です。「説明資料画面」では金融機関の例を示してい ますが、通販会社などでも発生しています。発生の報道は少ないですが、認識が低いの で発生しやすい事件事故です。 【利用上の注意点】 「説明資料画面」のように、具体的な事件事故報道の例を示しながら、上記の分類を 説明し、被説明者の身近な問題であることを認識できるようにすることが重要です。 事件事故の例は、できるだけ最新の内容、あるいは被説明者の同業種での例や近隣で の例を利用するのが効果的ですので、インターネットの検索サイトを利用して情報を収 集し、変更してください。 171 3．個人情報に関する事件事故の企業への影響 ３．個人情報に関する事件事故の企業への影響 個人情報に関する事件事故の発生により、信頼の低下、取引停止 や買控えによる売上減等につながる可能性がある。 直 接 的 な 被 害 間 接 的 な 被 害 ①再発防止対策費 （厳密・厳重なセキュリティ対策費 等） ②漏洩事故に対する直接の対応費 （顧客対策費（連絡費用、お詫び料）、マスコミ対策費 等） ③訴訟対策 （弁護士報酬等の裁判費用、損害賠償支払費用 等） ①ブランドイメージや信頼の低下による影響 （長期に渡る売上げダウン、将来の戦略展開への障害 等） ②取引停止や購控え等による売上げ低下あるいは伸びの鈍化 （短期的な業務停止、自粛、顧客の取引停止 等） ③業務の混乱や停止による対応能力の低下による機会の損失 （業務の混乱に伴う業務処理能力の低下 等） ＮＩＣ 【解説】 個人情報に関する事件事故が発生した場合の企業に対する影響は、出費を伴う「直接 的な被害」と、機会損失による収入減の「間接的な被害」があります。 3-1．直接的な被害 ①再発防止対策費 頻繁に個人情報の漏えい事件を発生するような企業は、顧客の信頼を得られません。 そこで、一度個人情報の漏えい事件を起こしてしまった企業は、再発を防止するために 膨大な費用と手間を投入する必要があります。例えば、通信販売事業者Ａ社における顧 客情報の漏えい事件では、数ヶ月間営業を停止し、数百億円の対策費用を投入していま す。 ②漏えい事故に関する直接の対応費 漏えいした個人情報の内容等にもよりますが、顧客への報告のための郵送物やお侘び 料の支払い、取引先や監督官庁、マスコミ等のへの説明と対応等に関する費用が発生し ます。なお、 漏えいした顧客に対して５００円程度の商品券を配るケースがありますが、 これは慰謝料ではなく、単なるお詫び料であり、損害賠償には当たらないと考えられて います。 172 ③訴訟対策費 エステ業者Ｔ社や情報通信事業者Ｂ社等のように、被害者が集団訴訟を起こすケース もあります。こうした場合には、弁護士への報酬等の裁判費用や損害賠償の支払いが必 要となります。最近の判決では、一人当たり１万円∼５万円程度の損害賠償の支払いが 命じられています。 3-2．間接的な被害 ①ブランドイメージや信頼の低下による影響（長期的な影響） 個人情報の漏えい事件が大々的に報道された場合、会社のブランドイメージや顧客か らの信頼が低下し、長期にわたって売上の伸び悩みや低下につながる恐れがあります。 また、新規の取引先の開拓、あるいは重要な個人情報を取り扱うようなビジネスに進出 する際にも、 「あそこは個人情報管理に信頼が置けない」ということになると、大きな 障害となります。 以下に示すような短期的な損害に目が行きがちですが、影響する期間を考えると、こ うした被害のほうが大きくなるケースもあります。 ②取引停止や買控え等による売上の低下あるいは伸びの鈍化 上記は、長期的なダメージを考えたものですが、こちらは一時的な取引停止や買控え による影響を示しています。個人情報の漏えい事件を起こした場合、事件の内容にもよ りますが、買控えや取引の見直し等が行われるケースがあります。 もし、取引先がプライバシーマークの付与認定を受けているような場合には、付与認 定や更新審査において、 「委託先の選定」について審査員から厳しい指摘が増えており、 個人情報の漏えいなどの事件事故を発生させた企業に対して、委託を継続したり新規で 契約をしずらい状況になりつつあります。 ③業務の混乱や停止による対応能力の低下に伴う機会損失 個人情報の漏えい事件や事故が発生した場合、顧客への説明、取引先への説明はもち ろん、場合によってはマスコミへの対応も必要になります。役員はもちろん、営業担当 者や総務部門は対応に追われますので、通常の業務に支障が生じます。さらに、従業員 の間にも動揺が発生し、 「仕事どころではない」ということになり、売上も減少します。 また、 「①再発防止策」を実施に伴い、事務量の増加等に伴い生産性が低下した結果、 売上の減少につながるといったこともあります。 個人情報の漏えい等の事件事故が発生した場合の企業における影響は、事件事故の内 容や業界の状況等により、損失の程度や内容が異なります。中小企業においては取引の 停止や見直しによる影響が大きいと考えられます。 173 特に、取引先が大手企業の場合には、契約の見直しにより取引量が減少したり、最悪 の場合取引を停止される恐れがあります。こうした傾向は、大企業を中心として広まり つつある「コンプライアンスの徹底」や「リスク管理の導入」により、益々強まる可能 性があります。 【利用上の注意点】 個人情報の漏えい事件事故については、個人顧客の信頼低下よりも、企業間取引にお ける信頼の低下のほうが、深刻な影響を与えることを強調してください。 174 4．各企業における個人情報保護対策への取組み ４．各企業における個人情報保護対策の取組み 個人情報保護対策として、プライバシーマークの付与認定を受け る企業が急増している。 出版・印刷業界におけるプライバシーマーク使用許諾事業者数 印刷関連サービス業 印刷業 出版業 新聞業 製版業 10社 681社 42社 3社 7社 製本業・印刷物加工業 合計 6社 749社 資料：ＪＩＰＤＥＣ「プライバシーマーク使用許諾事業者一覧」（20070206）より抜粋 ＮＩＣ 【解説】 個人情報保護法への取組み状況は、業種により大きく異なっています。例えば、印刷 業界では、名簿やダイレクトメールの印刷及び送付事務代行等を請け負っている関係で、 比較的個人情報保護の取り組みに熱心です。また、広告業界でも、大手広告代理店の指 示などにより、制作会社等において、個人情報保護の取り組みやプライバシーマークの 付与認定に熱心な傾向があります。 業界や地域における企業の個人情報保護対策の状況について正確な統計等はありま せん。アンケート調査等が実施されていることもありますが、設問方法やサンプリング 等に問題があるケースも少なくありません。比較的有効なものとして、日本情報処理開 発協会（通称ＪＩＰＤＥＣ）による「プライバシーマーク使用許諾事業者一覧」があり ます。上記の印刷業界や広告業界等の傾向は、この資料によって確認することができま す。 これら以外にも、 「電気通信事業者」や「金融業（銀行・生保等） 」では、監督官庁の 強い指導により、個人情報保護の取り組みが積極的に行われています。一方で、重要な 個人情報を取り扱っているにも関わらず、個人情報保護の取り組みに対して消極的な業 界もあるといわれています。 【利用上の注意点】 「プライバシーマーク使用許諾事業者一覧」 （http://privacymark.jp/list/clist.html）を参考にして、被説明者の業界団体や地 175 域におけるプライバシーマークの付与認定を受けている事業者数や事業者の一覧に差 し替えてください。また、個別企業名を紹介することにより、被説明者の理解を促進す ることができます。 176 第３節 個人情報保護法の解説 1．個人情報保護法の目的 １．個人情報保護法の目的 個人情報保護法の目的は、情報社会の進展のため、個人情報 の有効活用と個人の権利利益の保護をバランスさせることで ある。 個人情報の有用性に配慮しつつ、個人の権利利益を保護する （第１条） 一定のルールの中で「 個人の権利・利益 」を保護すること により、情報の利用を促進する。 「企業や組織が個人情報を利用する権利」 「個人が自己の情報をコントロールする権利」 従来のプライバシー保護の考え方とは異なる点に注意！！ ＮＩＣ 【解説】 「個人情報の保護に関する法律」では、「個人情報の有用性に配慮しつつ、個人の権 利利益を保護することを目的とする」（第１条）とあり、一定のルールにもとづき「企 業や組織が個人情報の利用する権利」を認める一方、「個人が自分の情報をコントロー ルする権利」を認めることにより、個人情報の利用を促進し、利便性を高めることを狙 っています。 つまり、 「個人情報の保護に関する法律」の本来の目的は、 「個人情報の保護」ではな く、「個人の権利利益の保護」と「個人情報の有効活用」にあります。 このことから、個人情報の保護対策を考えるにあたって、「個人情報の全てが同一に 重要であり厳密な管理が必要である」というのではなく、 「権利利益を侵害する程度＝ 企業として取るべき対策のレベル」として、必要な対策を考えていくことが求められて いるのです。 なお、 「個人情報の保護に関する法律」の条文の中には、 「プライバシー」という表現 はどこにも記載されていません。よく、「氏名や住所はプライバシーではないので、個 人情報には当たらない」と考えている人がいますが、これは誤解であり、注意が必要で す。 専門家の間では、「プライバシー」＝「個人が自分の情報をコントロールする権利」 との意見もありますが、一般の皆さんは、従来のプライバシー保護の発想と「個人情報 の保護に関する法律」の趣旨とは異なっていると考えたほうが、混乱を避ける意味で懸 177 命です。 【利用上の注意点】 本資料で重要なのは、 「個人情報」ではなく「個人の権利利益」を保護するというこ とです。そのため、中央部分の「個人の権利利益」を表示しない状況で説明し、被説明 者に考えさせることで、認識を深めることが有効です。 178 2．関連する法令等の体系 2-1．関連する法令等の体系 ２．関連する法律等の体系 ２−１ 関連する法律等の体系 個人情報に関する法律は、「個人情報の保護に関する法律」のほか に、各業界を所管する官庁が指導監督の基準として各種ガイドライン を設定している。 政府 「個人情報の保護に関する法律」（平成15年5月30日法律第57号） 「個人情報の保護に関する法律の一部の施行期日を定める政令」（平成 15年12月10日政令第506号） 「個人情報の保護に関する法律施行令」（平成15年12月10日政令第507号） 「個人情報の保護に関する基本方針」（平成16年4月2日閣議決定） 省庁 「個人情報の保護に関する法律についての経済産業分野を対象とする ガイドライン」（平成16年12月経済産業省） 「雇用管理に関する個人情報の適正な取扱いを確保するために事業者 が講ずべき措置に関する指針」（平成16年7月厚生労働省） 「雇用管理に関する個人情報のうち健康情報を取扱うに当たっての留 意事項について」（平成16年10月厚生労働省） ＮＩＣ 2-2．主な省庁の個人情報保護に関するガイドライン ２−２ 主な省庁の個人情報保護に関するガイドライン 分野名 ガイドライン名・省庁名 事業全般 個人情報の保護に関する法律についての経済産 業分野を対象とするガイドライン（経済産業省） 雇用管理 （一般） 雇用管理に関する個人情報の適正な取扱いを確 保するために事業者が講ずべき措置に関する指針 （厚生労働省） 雇用管理 雇用管理に関する個人情報のうち健康情報を取り （健康情報） 扱うに当たっての留意事項について（厚生労働省） 電気通信 電気通信事業における個人情報保護に関するガイ ドライン（総務省） 国土交通 国土交通省所管分野における個人情報保護に関 するガイドライン（国土交通省） 農林水産省 個人情報の適正な取扱いを確保するために農林水 産分野における事業者が講ずべき措置に関するガ イドライン（農林水産省） ＮＩＣ 179 【解説】 2-1．関連する法令等の体系 個人情報保護に関する法律は、「個人情報の保護に関する法律」（平成 15 年 5 月 30 日法律第 57 号）のほかに、施行日を定める政令、用語の定義等の補足事項を定めた施 行令等があります。 個人情報の保護に関する法律は、実際の運用にあたっての指導監督について、各省庁 に委ねられていることから、法律や施行令等とは別に、「省庁ガイドライン」と呼ばれ るものがあります。 このため、各企業においては、「個人情報の保護に関する法律」はもとより、自社の 業務に関わる監督官庁が公表している個人情報保護に関するガイドラインを遵守する 必要があります。 2-2． 主な省庁の個人情報保護に関するガイドライン 個人情報保護に関する省庁ガイドラインとしては、別表に示したものがあります。各 省庁は、このガイドラインにもとづき、指導監督することになりますので、各企業は、 自社の業務について、どの省庁のガイドラインが関係するかを確認しなければなりませ ん。極論を言えば、 「個人情報の保護に関する法律」ではなく、 「省庁ガイドライン」を 遵守する必要があります。 例えば、介護事業を手掛けている建設会社を想定した場合、自社の保有する個人情報 あるいは事業について、以下のような省庁ガイドラインが関係しています。 対象事業・個人情報 遵守すべき省庁ガイドライン 建設業における個人情報の利用 ○国土交通省所管分野における個人情報保護に関 （例：顧客名簿、個人住宅の図面、 するガイドライン（国土交通省） 支払い請求関係書類等） 従業員の個人情報 ○雇用管理に関する個人情報の適正な取扱を確保 （例：従業員名簿、与・人事情報、 するために事業者が講ずべき措置に関する方針 健康診断の結果 等） （厚生労働省） ○雇用管理に関する個人情報のうち健康情報を取 り扱うに当たっての留意事項について(厚生労働 省) 医療介護事業における個人情報 ○医療・介護関係事業者における個人情報の適切 （例：入居者名簿、介護カルテ等） な取扱いのためのガイドライン（厚生労働省） 180 【利用上の注意点】 「個人情報の保護に関する法律」にもとづく各省庁によるガイドラインについては、 制定改廃が頻繁に行なわれていることから、内閣府国民生活局の関連ホームページ （http://www5.cao.go.jp/seikatsu/kojin/gaidorainkentou.html）で確認し、必要に 応じて資料の内容を訂正する必要があります。 各省庁ガイドラインについては、「個人情報の保護に関する法律」を丸写ししたよう なガイドラインもあれば、医療・介護分野のガイドラインや電気通信分野のガイドライ ンのように、より詳細に内容が定められているものもあるので、被説明者の業界に応じ て、事前に内容を確認しておく必要があります。 181 ■主な省庁ガイドライン 分野 所管省庁 ガイドラインの名称 (1)医療・介護関係事業者における個人情報の適切な取扱い のためのガイドライン（局長通達）） (2)健康保険組合等における個人情報の適切な取扱いのため 一般 厚生労働省 のガイドライン（局長通達） (3)医療情報システムの安全管理に関するガイドライン（局 長通達） 医療 (4)国民健康保険組合における個人情報の適切な取扱いのた めのガイドライン（局長通達） 文部科学省 研究 厚生労働省 経済産業省 (1)ヒトゲノム・遺伝子解析研究に関する倫理指針（告示） (2)疫学研究に関する倫理指針（告示） (3)遺伝子治療臨床研究に関する指針（告示） (4)臨床研究に関する倫理指針（告示） (1)金融分野における個人情報保護に関するガイドライン 金 金融 金融庁 融・信 信用 通信 (2)金融分野における個人情報保護に関するガイドラインの 安全管理措置等についての実務指針（告示） 用 情報 （告示） 電気通 信 放送 経済産業省 総務省 総務省 経済産業分野のうち信用分野における個人情報保護ガイド ライン（告示） 電気通信事業における個人情報保護に関するガイドライン （告示） 放送受信者等の個人情報の保護に関する指針（告示） 個人情報の保護に関する法律についての経済産業分野を対 事業全般 経済産業省 象とするガイドライン（告示） 経済産業分野のうち個人遺伝情報を用いた事業分野におけ る個人情報保護ガイドライン（告示） 雇用管理に関する個人情報の適正な取扱いを確保するため 雇用 一般 厚生労働省 に事業者が講ずべき措置に関する指針（告示） 雇用管理に関する個人情報のうち健康情報を取り扱うに当 たっての留意事項について（局長通達） 管理 船員 国土交通省 船員の雇用管理に関する個人情報の適正な取扱いを確保す るために事業者が講ずべき措置に関する指針（告示） 182 国家公安委員会が所管する事業を行う者等が講ずべき個人 警察 警察庁 情報の保護のための措置に関する指針（告示） 警察共済組合が講ずべき個人情報の保護のための措置に関 する指針について（局長通達） 防衛 防衛庁 防衛庁関係事業者が取り扱う個人情報の保護に関する指針 （告示） 法務省が所管する事業における事業者等が取り扱う個人情 報の保護に関するガイドライン（告示） 法務 法務省 債権管理回収業分野における個人情報の保護に関するガイ ドライン 外務 外務省 財務 財務省 教育 文部科学省 福祉 厚生労働省 外務省が所管する事業を行う事業者等が取り扱う個人情報 の保護に関するガイドライン（告示） 財務省所管分野における事業者に対する個人情報の保護に 関する指針（告示） 学校における生徒等に関する個人情報の適正な取扱いを確 保するために事業者が講ずべき措置に関する指針（告示） 福祉関係事業者における個人情報の適正な取扱いのための ガイドライン（局長通達） 職業紹介事業者、労働者の募集を行う者、募集受託者、労働 職業紹介等 厚生労働省 者供給事業者等が均等待遇、労働条件等の明示、求職者等の 個人情報の取扱い、職業紹介事業者の責務、募集内容の的確 な表示等に関して適切に対処するための指針（告示） 労働者派遣 厚生労働省 労働組合 厚生労働省 企業年金 厚生労働省 派遣元事業主が講ずべき措置に関する指針（告示） 個人情報の適正な取扱いを確保するために労働組合が講ず べき措置に関する指針（告示） 企業年金等に関する個人情報の取扱いについて（局長通達） 国土交通省所管分野における個人情報保護に関するガイド 国土交通 国土交通省 ライン（告示） 不動産流通業における個人情報保護法の適用の考え方 農林水産 農林水産省 個人情報の適正な取扱いを確保するために農林水産分野に おける事業者が講ずべき措置に関するガイドライン（告示） 183 3．個人情報保護法に関する用語の解説 3-1．個人情報等の定義 ３．個人情報保護法に関する用語の解説 ３−１ 個人情報等の定義 『個人情報 』：生存する「個人に関する情報」であって、特定の個人 生存する「個人に関する情報」であって、特定の個人 を識別することができるもの。 を識別することができるもの。 『 個人情報データベース』： 』：特定の個人情報をコンピュータを用い 特定の個人情報をコンピュータを用い て検索することができるように体系的に構成した、個人情報を含む情 て検索することができるように体系的に構成した、個人情報を含む情 報の集合物、又はコンピュータを用いていない場合でも一定の規則に 報の集合物、又はコンピュータを用いていない場合でも一定の規則に 従って整理。分類し、容易に検索可能な状態においているもの。 従って整理。分類し、容易に検索可能な状態においているもの。 『 個人データ 』：個人情報データベースを構成する個人情報。 個人情報データベースを構成する個人情報。 『 保有個人データ』：事業者が開示、内容の訂正、追加又は削除、 事業者が開示、内容の訂正、追加又は削除、 利用の停止、消去及び第三者への提供の停止を行うことのできる権限 利用の停止、消去及び第三者への提供の停止を行うことのできる権限 を有する個人データであり、６ヶ月以上保有しているもの。 を有する個人データであり、６ヶ月以上保有しているもの。 『 個人情報取扱事業者』：取り扱う個人情報の量及び利用方法から 取り扱う個人情報の量及び利用方法から みて、個人の権利利益を害するおそれが少ない者を除いた、個人情報 みて、個人の権利利益を害するおそれが少ない者を除いた、個人情報 データベース等を事業の用に供している者。 データベース等を事業の用に供している者。 『 本人（情報主体）』：個人情報によって識別される特定の個人。 個人情報によって識別される特定の個人。 ＮＩＣ 【解説】 「個人情報の保護に関する法律」を理解するためには、まず関連する用語の定義を正 確に理解しなければなりません。実は、用語の定義をきちんと理解していないで対策を 実施しているケースは少なくありません。また、プライバシーマーク制度で利用してい る「JISQ15001」の用語と混同して使用されるケースもありますが、用語の定義が微妙 にことなりますので注意が必要です。特に、以下に示す３つの用語は、 非常に重要です。 ①個人情報 「個人情報」とは、まず「生存する個人に関する情報」です。つまり、死者の情報は 対象外となりますが、たとえ海外在住者の個人情報であっても、生きている限りは個人 情報となります。また、死者の個人情報は対象外ですが、たとえ死者の個人情報であっ ても、生存している遺族などが特定されるような場合には、生存する遺族に関する個人 情報となりますので注意が必要です。ちなみに、個人情報保護マネジメントシステムに 関する規格である「JISQ15001」では、死者の情報も個人情報になるとされています。 さらに、「特定の個人を識別することができるもの」とあります。これは、個人の氏 名はもちろんですが、顔写真や声であっても、それが誰であるのかを特定することがで きれば、全て個人情報となります。ちなみに、医療系の省庁ガイドラインでは、血液等 も個人情報であるとされています。 184 ②個人データ 上記で確認した個人情報のうち、 「複数人の個人情報を検索できるような状況で整理 している」場合は、さらに個人データとなります。 例えば、表計算ソフトで作成されたファイルやデータベース内にあるマスターデータ 等に登録された個人情報は、個人データとなりますが、たとえ紙ベースであっても、申 込み用紙を受付順などでファイリングしているような場合も個人データに該当します。 よく、 「ランダムに並べれば、個人データにならない」という意見もありますが、もし、 漏えいして犯罪に利用されるということを想定すると、ランダムであるか否かよりも、 多くの個人情報の集合体であることに意味があることかお分かりいただけるかと思い ます。 要は、複数人の個人情報の集合体のうち、記念写真や防犯カメラの映像のように、実態 として検索不可能なものを除外したと考えるほうが良いと思います。 ③保有個人データ 上記の個人データのうち、事業者が書き換える権利を持っていて、なおかつ６ヶ月以 上保有することを前提としているものは保有個人データとなります。 「従業員名簿」は「保有個人データ」の象徴的な例です。従業員の住所変更や婚姻な どによる変更について届出があれば、会社で変更します。さらに、退職するまでは持ち 続けているので、６ヶ月以内に削除するということを前提としていません。一般的には 「顧客名簿」等も保有個人データとなります。 しかし、例えばダイレクトメールの発送代行業務の受託に伴い、一時的に送付先の名 簿の提供を受けているような場合には、受託者としては顧客名簿を書き換える権利を持 たない場合が一般的ですので、たとえ６ヶ月以上保有していたとしても、「保有個人デ ータ」ではなく、個人データとなります。システム会社がシステムの開発やテストのた めの個人データの提供を受けるような場合も「個人データ」となる場合が一般的です。 【利用上の注意点】 資料では、 「個人情報」 「個人データ」「保有個人データ」以外に「個人情報取扱事業 者」「情報主体」を記載していますが、特に重要なのは個人情報の種類ですので、これ を補足する意味で説明してください。説明にあたっては、用語の定義部分を消して、被 説明者に用語の意味を考えてもらいながら進めるのが効果的です。 なお、省庁ガイドラインによっては、用語の名称や定義、事例等が異なる場合があり ますので、被説明者が特定業種に限定されるような場合には、省庁ガイドラインにおけ る用語の定義を確認してから実施することが必要です。 185 3-2．個人情報、個人データ、保有個人データの例 ３−２ 個人情報、個人データ、保有個人データの例 あなたの会社内にある、以下の個人情報について、「個人情報」「個 人データ」「保有個人データ」のいずれに該当するかを考えてみまし ょう。 ①採用時に提出された従業員の履歴書 ②店の防犯カメラに移った顧客の映像 ③販売管理システムに登録されている取引先代表者や担当者の 氏名、会社名、住所 ④所属する業界団体加入者の名簿 ⑤営業担当者の受取った名刺 ＮＩＣ 【解説】 自社にある個人情報について、「個人情報」「個人データ」 「保有個人データ」のいず れに該当するのかを考えてみましょう。さらに、もし当該個人情報が漏えいした場合の 被害の大きさなどをもとに、「個人の権利利益を侵害する程度」を考えてみましょう。 なお、以下に示した例はあくまで一般的な事項であり、企業によって異なる可能性があ ります。 ①採用時に提出された従業員の履歴書 採用時に提出された従業員の履歴書について退職するまで保管するのが一般的です。 また、他の従業員のものもいっしょにまとめて保管していることが多いので、「保有個 人データ」に該当します。 履歴書には自宅の住所や生年月日などが記載されており、特に古い履歴書には、本籍 や家族構成、学歴等、現在は収集されていない情報も多数含まれていますので、保管に あたっては、注意が必要となります。 ②店の防犯カメラに移った顧客の映像 防犯カメラの映像は、個人を特定することは可能ですが、検索性となると時間程度し かありませんので、「個人情報」に該当します。 186 ③販売管理システムに登録されている取引先代表者や担当者の氏名、会社名 販売管理システムのマスターデータは、個人情報データベースであり、さらに６ヶ月 以内に削除することを前提としていない上に、 取引に応じて自社で変更しますので、 「保 有個人データ」に該当します。 ④所属する業界団体加入者の名簿（住所、氏名、個人の連絡先） 名簿ということで複数人の個人情報が記載されていますが、こちらで書き換えて使う ということよりも、定期的に所属団体から配付されるので、「個人データ」に該当する と考えたほうが一般的です。ただし、こうした所属団体から配付された名簿を、自社の 営業活動に利用している場合には、保有個人データになる可能性があります。 ⑤営業担当者の受取った名刺 営業担当者が外部から受取った名刺は、複数の名刺をまとめて保管管理し、６ヶ月以 上保有するのが一般的ですので、 「保有個人データ」と考えるのが一般的です。ただし、 「名刺」は、本人が多くの人に知ってもらうことを目的にいろいろなところで配ってい るものであり、記載された内容は、 「個人の名前」と「会社の住所」 「会社の電話番号等」 ですので、もし漏えいした場合の影響などを考えると、重要性は高くありません。 ただし、 「誰と取引している」とか、 「誰と会っている」ということ自体が外部に漏れ ると問題になるというケースでは、個人情報としてではなく「営業機密」としての重要 性が求められることになりますので、個人情報の保護に関する法律にもとづいて対応す るのではなく、「不正競争防止法」にもとづく「営業機密」に該当するように、管理体 制を整備する必要があります。 【利用上の注意点】 説明者は、 被説明者の企業において取り扱っている個人情報の概要を理解したうえで、 適切な事例を選択してください。この時点で、被説明者がどの個人情報に分類されるか を理解できていないようであれば、改めて用語の定義を説明する必要があります。 なお、上記のように、自社の個人情報をもとに、個人情報の分類や重要性について検 討を行うと、個人情報保護法の観点ではなく、自社の秘密情報としての価値と混同する ケースがあります。 例えば、営業情報のように自社の重要な機密情報に該当するような場合には、 「不正 競争防止法」における「営業機密」として管理するべきですので、 「営業秘密管理指針」 （経済産業省）などを参考にした対策の実施をご紹介してください。 187 3-3．個人情報取扱事業者の定義 ３−３ 個人情報取扱事業者の定義 「個人情報データベース」 「個人情報データベース」 ・生存する個人に関する情報であること ・生存する個人に関する情報であること ・特定の個人を識別可能であること（ほかの情報と照合することで ・特定の個人を識別可能であること（ほかの情報と照合することで 識別可能なものを含む） 識別可能なものを含む） ・一定の規則に従って整理することにより、特定の個人情報を容易 ・一定の規則に従って整理することにより、特定の個人情報を容易 に検索することができるよう体系的に構成した情報の集合物である に検索することができるよう体系的に構成した情報の集合物である こと こと 上記「個人情報データベース」で識別される個人の数が過去六カ月以 内のいずれかの日において、５０００件を越える場合。 『個人情報取扱事業者』 「個人情報取扱事業者は、本法律の遵守が義務づけられる」という程度の問 題であり、たとえ該当しなくても、世間や顧客から同じように批判を受ける し、損害賠償の請求も発生する。 ＮＩＣ 【解説】 「個人情報の保護に関する法律」には、「個人情報取扱事業者」の定義があります。 よく、自社は「個人情報取扱事業者に該当するのか？」との質問がありますので、ここ で確認しておきます。 「個人情報取扱事業者」とは、「取扱う個人情報の量又は内容からみて、個人の権利 利益を侵害する恐れが少ないものを除いた、個人情報データベースを事業に用に供して いる者」 （第２条）のことであり、 「個人情報の保護に関する法律」で定められた事項を 守る義務のある者を指しています。 つまり、この定義に該当しない事業者は、法令を守る義務はありません。この取り扱 う個人情報の量の具体的な目安として「５千件以上の個人データ」という定義がなされ ています。家族経営で顧客名簿を持たないような商店街の肉屋や八百屋等の場合、ある いは町工場等は対象外となる可能性があります。 しかし、顧客や取引先に対して、 「当社は個人情報の保護に関する法律の対象とはな りませんので、ご提供いただいた個人情報について特に管理しません」といいういいわ けが通用するでしょうか？。つまり、仮に自社は「個人情報取扱事業者」にならないと なった場合でも、単に法令で処罰されないという程度に過ぎず、ビジネスの上では、何 らかの対策が必要なことに変わりはないのです。 なお、宗教、報道、学術、芸術の場合には、「個人情報の保護に関する法律」の対象 外とされていますが、あくまで上記の４目的に利用する場合に限られています。例えば、 宗教団体が幼稚園を経営している場合、放送局が通販事業を行なっているような場合、 188 学校で入学希望者を募集するような場合は、当然「個人情報の保護に関する法律」対象 となります。 【利用上の注意点】 5000 件という数値がありますが、これは量的な目安に過ぎず、 「個人情報の保護に関 する法律」においては、 「個人の権利利益を侵害する恐れのある個人データの量」の目 安に過ぎないこと。 そして、「個人情報取扱事業者」になるか否かは、個人情報保護対策において、本質 的な問題でないことを強調することが重要です。 189 4．遵守すべき事項の概要 4-1．個人情報の種類と遵守すべき事項 ４．遵守すべき事項 ４−１ 個人情報の種類と遵守すべき事項 利用目的の特定 利用目的の通知 利用目的による制限 適正な取得 苦情の処理 個人情報 （第１５条） （第１８条） （第１６条） （第１７条） （第３１条） 上記に加えて以下が適用される 内容の正確性の確保 （第１９条） 安全管理措置 （第２０条） 従業者の監督 （第２１条） 委託先の監督 （第２２条） 第三者提供の制限 （第２３条） 個人データ 上記に加えて以下が適用される 保有データ事項の公表（第２４条） 情報開示への対応 （第２５条） 情報訂正への対応 （第２６条） 情報利用の停止 （第２７条） 手続きの整備 （第２９条） 保有個人データ ＮＩＣ 4-2．個人情報の流れと遵守すべき事項 ４−２ 個人情報の流れと遵守すべき事項 取得に際しての利用目 取得に際しての利用目 的の通知（第18条） 的の通知（第18条） 保有個人データに関する 保有個人データに関する 事項の公表（第24条） 事項の公表（第24条） 本人 本人の求めによる個人デ 本人の求めによる個人デ ータの開示、訂正、利用 ータの開示、訂正、利用 の停止（第25,26,27条） の停止（第25,26,27条） 理由の説明（第28条） 理由の説明（第28条） 適正な取得 適正な取得 （第17条） （第17条） 利用目的の特定 利用目的の特定 （第15条） （第15条） 開示等の求めに 開示等の求めに 応じる手続（第 応じる手続（第 29条） 29条） 開示、訂 正、停止 受付と対 応 収集 第三者提供の制 第三者提供の制 限（第23条） 限（第23条） 保管 利用 デ デー ータ内容の タ内容の 正 正確 確性の確保 性の確保 （第19条） 苦 情 受 付 （第19条） と対応 廃棄 個人情報取り扱い事業者に 個人情報取り扱い事業者に よる苦情の処理（第31条） よる苦情の処理（第31条） 個人情報取扱事業者 ＮＩＣ 190 利用目的による 利用目的による 制限（第16条） 制限（第16条） 安 安全 全管 管理 理措 措置 置 （第20条） （第20条） 従 従業 業者の監督 者の監督 （第21条） （第21条） 委 委託 託先 先の の監 監督 督 （第22条） （第22条） 【解説】 ここでは、 「個人情報の保護に関する法律」において遵守すべき事項の概要について、 先に説明しました「個人情報」「個人データ」「保有個人データ」をもとに説明します。 ①「個人情報」に関する遵守事項 個人情報については、主に利用目的に関する制限が求められています。 まず、個人情報を収集・利用する場合には、あらかじめ利用目的を特定（第 15 条）し、 その目的以外に使用してはいけません。もし、目的を変更する場合には本人の同意を得 なければなりません（第 16 条）。 そして、個人情報を収集する際には、利用目的が明らかである場合を除き、公表、通 知等の方法により、利用目的を本人が知ることができるようにしなければなりません。 また、本人から直接書面等によって収集する場合には、利用目的を明示する（申し込み 用紙などに明記し、説明する）必要があります（同法第 18 条）。もちろん、利用目的を 偽るなど違法な方法で個人情報を取得してはいけません（同法第 17 条）。また、個人情 報の取扱いについての苦情を受けた場合には、適切に対応する（同法 31 条）ことが必 要です。 ②「個人データ」に関する遵守事項 個人データについては、正確性の確保と安全管理が求められています。 まず、個人データは、利用目的の達成に必要な範囲内において内容の正確性を維持し なければなりません（第 19 条）。 次に、漏えいや滅失、き損等の発生を防止するために必要な安全対策を施す（同第 20 条）とともとに、安全対策の一環として、従業者（第 21 条）及び委託先に（第 22 条）ついて必要な監督を行なわなければなりません。 さらに、自社以外の第三者に個人データを提供する場合には、法令上の定めに場合等 を除き、原則的に本人の同意を得る必要があります（法 23 条）。 ③「保有個人データ」に関する遵守事項 保有個人データについては、本人が自分の個人情報をコントロールする権利を保障す ることが求められています。 具体的には、自社の保有個人データの利用目的、あるいは保有個人データに関する開 示訂正利用停止や苦情の連絡先の公表（第 24 条）が必要であり、実際に保有個人デー タの利用目的の通知、内容の開示（同法第 25 条）、訂正（同法 26 条）、利用の停止（同 法第 27 条）の要請があった場合には、適切に対応しなければなりません。 このように、法令上漏えい対策が必要なのは、 「個人データ」に該当する場合であり、 「個人情報」についての漏えい対策は、義務ではありません。 191 また、本人からの開示訂正利用停止についての請求があった場合でも「保有個人デー タ」に該当しない場合には、対応は不要です。しかも、ある一定の特定の条件に該当す る場合のみ、訂正や利用停止に応じればよいのです。 一方で、実際の対応にあたっては、 「個人情報」であっても安全対策が必要な場合が ありますし、 本人からの訂正や利用停止に無条件に応じなければならない場合がありま す。そこで、実際の対策を考えるにあたっては、「個人情報の保護に関する法律」の遵 守事項を基本にして、個別の企業における諸条件を考慮しながら対策を考えていく必要 があります。 【利用上の注意点】 ここで説明している事項は、あくまで概要であり、実際の対策を考える場合には「個 人情報の保護に関する法律」の条文について、企業自らが理解しなければなりません。 特に、それぞれの条文には除外規程（義務の対象外とする事項）があります。これを踏 まえて対応しなければ、過剰対応に陥る可能性があります。 こうした意味で、説明者は、「個人情報の保護に関する法律」を一読し、特に除外規 程について注意する必要があります。 192 第４節 中小企業における個人情報保護 1．中小企業における個人情報保護の目的 １．中小企業における個人情報保護の目的 『顧客の信頼に応え、安心感を与えること』 個人情報取扱事業者になるか否かは関係ない いわゆる『個人情報取扱事業者』になるか否か、あるいは法律 で処罰されるかどうかの問題ではない。 ウソは、ばれたときにより多くの信用を失う できない事を『できる』あるいは『やっている』というと、事故が発 できない事を『できる』あるいは『やっている』というと、事故が発 生した時に信頼は失われる。できることからはじめ、やっている事 を知らせる。 ＮＩＣ 【解説】 もし、あなたの会社が振込め詐欺集団に個人情報を提供している、あるいは、漏洩事 故を頻繁に起しているような会社であった場合に、仕事の依頼があるでしょうか？。お 客様は、自分の個人情報をあなたの会社に提供するでしょうか。 お客様は、お願いした仕事をきちんとこなしてもらえるという「信頼」があるからこ そ、仕事を依頼するのであり、個人情報についても、適切に管理してもらえるだろうと いう「信頼」があるからこそ、提供するのです。つまり、個人情報の適正な管理は、 「顧 客の信頼に応え、安心感を与えるため」に実施するのです。 このために、 「個人情報取扱事業者になるかどうか」は本質的な問題ではありません。 顧客から、 「私の個人情報の安全対策はどうなっているのか」と聞かれ、 「当社は個人情 報取扱事業者ではないので、対応していません」と応えることができますか？。 逆に、実際は何の対策も行っていないのに、 「当社は個人情報について万全の管理策 をとっています」と応えた場合はどうでしょう。 もし、個人情報の漏えい事件が発生し、 実際は何の対策も実施していなかったら、どうなるでしょうか。 精密機器の違法輸出で経営陣が逮捕されたある機械メーカは、コンプライアンス経営 の先進企業といわれていました。しかも、実際には、関連する社内文書は一人の社員が 作文したもので、社内ではほどんと何も行われていなかったというのが発覚しました。 こうした企業が信頼を取り戻すには、計り知れない苦労が必要となることは、明白です。 193 対象や内容こそ違いますが、個人情報についても、同じようなことが発生する可能性は 否定できません。 【利用上の注意点】 個人情報保護法対策について、「法令遵守だから取り組まなければならない」という のは、正論ではありますが、経営者や従業員にはなかなか実感がわきません。また、法 令遵守といっても、実際の対応に当たって、完璧な対応は不可能に近いので、「単純に 法令遵守だから」と説明した場合、対策の実施段階で、従業員が戸惑いを見せる場合が あります。 被説明者に対して、個人情報保護の必要性を実感としてもってもらうためには、「法 令遵守」よりも、「信頼」を維持するといったほうが良い場合が多いのです。 なお、「あなたが、クレジットカード会社でカードを作る場合」といった具体的な事 象を想定したうえで、個人との取引においても「信頼」が根底にあることを説明すると 効果的です。 194 2．個人情報保護対策の構築手順 ２．個人情報保護対策の構築手順 （１）個人情報保護法を理解し、遵守すべき事項を特定する （２）会社としての個人情報保護法への対応方針を決定する （３）現状を把握する （棚卸、重要性評価、リスク把握、対応確認） （４）対策を構築する （５）対策を実施して記録する、さらに継続的に見直す ＮＩＣ 【解説】 個人情報を保護するための対策構築は、以下の手順で実施します。 ①個人情報保護法を理解し、遵守すべき事項を特定する 「何を守らなければならないのか」が分からなければ、何をして良いのかはわからな ないはずです。そこで、 「個人情報の保護に関する法律」あるいは関係する「省庁ガイ ドライン」の内容をよく理解し、「当社は何を守らなければならないのか」を明確にす ることからはじめます。 ②会社としての個人情報保護法への対応方針を決定する 「何をしなければならないのか」が分かったら、次は「どの程度対応するのか」を決 めます。つまり、どの程度お金と手間をかけるのかを決めるのです。 ③現状を把握する 「何をしなければならないか」そして「どの程度対応するのか」が明らかになったら、 今後は、「今どうなっているのか」を確認します。 ④対策を構築する 上記の３つを明らかにすることにより、具体的に対応すべき事項が明らかになり、こ れをもとに必要な対策を構築していきます。 195 ⑤対策を実施し、記録する。継続的に見直す 対策を構築したら今度は実施です。ルールはあるが実施されていないのは、ルールが 無いのと同じです。確実に実施するとともに、いざというときに実施していることを外 部に説明するためには、実施状況の記録が重要となります。 何でも、「楽に、簡単に済ませたい」という要求がありますが、法律の趣旨や取引先 の具体的な要求内容を十分に理解することなく対策に取り組むのは、 逆に法律に違反す ることになったり、無駄で余計な対策になることが多いようです。 また、他社の対策の情報を収集し、断片的に真似ることも非常に危険です。どの程度 時間や手間をかけるのかの問題はありますが、 可能な限りここに示した手順で進まれる ことが望ましいです。 なお、ここで説明する対策は、一度実施したら終わりということではなく、定期的あ るいは、自社の対策に問題が見つかった場合には、随時見直しを実施するなど、継続的 に取り組まなければなりません。 【利用上の注意点】 対策の構築にあたっては、例えば、「公表事項の作成のみ」という表面的な対応のみ というのは非常に危険です。 法律の概要、趣旨、自社の保有している個人情報の状況、あるいは委託先からの要求 事項等を正確に理解したうえで、必要な部分について対策をとる必要があります。 対策の構築はもちろんですが、個人情報に関する事件事故等のトラブルが発生した場 合の応急対応等を考えると、社内に個人情報に関する専門家を養成しておくことが望ま しいでしょう。例えば、 「個人情報保護士」という資格がありますが、こうした資格取 得という目標を設定して、個人情報の保護に関する知識の習得に努めることも良い方法 です。 196 3．個人情報保護対策の構築 3-1．個人情報保護法の理解 ３．個人情報保護対策の構築 ３−１ 個人情報保護法の理解 個人情報保護法を理解し、遵守すべき事項を特定する 個人情報保護法及び所管官庁のガイドライン等をもとに、個 人情報保護法の目的や遵守（要求）事項について理解する。 ①個人情報保護法の理解 ②所管官庁による個人情報保護のガイドライン等の把握 ③その他業界ガイドライン等の把握 ④遵守すべき法令及びガイドラインの特定 ⑤業界他社の動向、顧客の要求事項を把握 「遵守すべき内容の特定」（チェックリストの作成） ※各省庁のガイドラインは、会社単位ではなく、業務単位で対象となる。 ＮＩＣ 【解説】 個人情報保護の対策を考えるにあたっては、当然のことですが、「個人情報の保護に 関する法律」を理解する必要があります。「この法律はあなたの会社に何を要求してい るのか」ということが分からなければ、適切な対策を行うことはできません。ただし、 理解しなければならないのは、 「第１章 総則」 「第４章 個人情報取扱事業者の義務等」 の２箇所の条文のみで、全てを読まなければならないということはありません。 次に、自社の業務を所管する省庁において「個人情報の保護に関するガイドライン」 が出されているか否かを確認します。もし、出されている場合には、当該省庁のホーム ページ等から入手し、一読しておきます。国土交通省や農林水産省のように「個人情報 の保護に関する法律」をそのまま焼きなおしたような内容であれば、参考程度に留めて おいてよいですが、内容や表現が大幅に異なるような場合には、むしろ省庁のガイドラ インをよく理解する必要があります。各省庁は、自らの所管する業界の企業について、 「個人情報の保護に関する法律」ではなく、省庁のガイドラインにもとづいて指導監督 しますので、企業としては、ガイドラインのほうが重要なのです。 この他に、各業界団体においても「個人情報保護のガイドライン」を整備していると ころがあります。遵守の義務はありませんが、対策構築の参考となる場合が多いので、 入手し読んでおかれると良いでしょう。 このように法令やガイドライン等多くの遵守すべき事項がありますので、これらを整 理し、実際の対策に役立てるために「遵守事項一覧」を作成すると良いでしょう。この 197 遵守事項一覧は、作成にあたって、遵守事項を理解するのに役立つほかに、対策の構築 や整備状況を確認する際にはチェックリストとして使用することができます。 【利用上の注意点】 「個人情報の保護に関する法律」及び「省庁ガイドライン」を理解するためには、社 内で勉強会を開催し、読み合わせするなどの方法が効果的です。 また、「個人情報の保護に関する法律」にかぎらず、今後は「法令遵守」ということ がビジネス上でも大きなウエイトをしめつつありますので、こうした法令に関する社内 勉強会を行うことは、他の法令への対応においても有効です。 198 遵守事項一覧（チェックリスト） 番号 １ 確認事項 該当条文 個人情報の管理についての責任者を 定めているか。 ２ 自社内に存在する個人情報の内容、 目的、保管場所、責任者等を特定し ているか。 ３ 重要な個人情報を特定しているか。 ４ 業務に利用している個人情報につい 15 条 て利用目的を特定しているか。 ５ 上記の利用目的について変更する場 15 条 合の手順を定めているか。 ６ 特定した利用目的以外に利用しない 16 条 ようルールを定めているか。 ７ 偽りその他不正な手段の個人情報の 17 条 収集を防止するためのルールをさだ めているか。 ８ 個人情報の収集にあたり、利用目的 18 条 を通知、明示、公表するためのルー ルを定めているか。 ９ 個人データの内容について、利用目 19 条 的に必要な範囲内で最新の内容に保 つためのルールを定めているか。 10 個人データの漏えいや滅失などが発 20 条 生しないよう安全管理策を実施して いるか。 11 個人データを取り扱う従業員に対し 21 条 て、安全管理のための監督（教育等） を実施しているか。 12 業務委託にともない、個人データ を提供するような先に対して、安全 管理のための監督（機密保持契約書 の締結、安全管理の具体的な指示等） を実施しているか。 199 22 条 実施状況 13 第三提供の実施にあたり、必要な 23 条 対策を実施しているか。 14 共同利用を実施する場合、必要な 23 条 事項を本人に通知又は公表している か。 15 保有個人データの開示・訂正・利 25 条、26 用停止等の対応の手順（受付、調査、 条、27 条、 16 報告、実施等）のルールを取り決め 28 条、29 ているか。 条、30 条 保有個人データに関する事項の公 24 条 表（事業社名、保有個人データの利 用目的、保有個人データの開示・訂 正・利用停止等の手続き及び手数料、 苦情の申し出先）をホームページ等 で公表しているか 17 個人情報に関する苦情及び相談の 対応の手順（受付、調査、報告等） のルールを取り決めているか。 200 31 条 3-2．対応方針の決定 ３−２ 対応方針の決定 会社としての個人情報保護法への対応方針を決定する 個人情報保護法への１００％完全な対応は現実的には不可能。そこで 個人情報保護法への１００％完全な対応は現実的には不可能。そこで 、会社としての対応方針（重点、水準、方法）を決定する。 、会社としての対応方針（重点、水準、方法）を決定する。 ＜対応方針の決定に必要な情報の把握＞ ①個人情報の実態（概要）を把握する ①個人情報の実態（概要）を把握する 社内における個人情報の所在の把握（名称、内容、対象者、保管場所、保管媒体）と重要 社内における個人情報の所在の把握（名称、内容、対象者、保管場所、保管媒体）と重要 度合いを特定する。 度合いを特定する。 ②個人情報取扱事業者か否かを確認する ②個人情報取扱事業者か否かを確認する 自社にある個人データにより特定される個人の数の確認を確認する。 自社にある個人データにより特定される個人の数の確認を確認する。 ③現状の対応レベルを確認する ③現状の対応レベルを確認する 遵守する事項（個人情報の収集、情報主体への対応、情報の更新、情報セキュリティ等） 遵守する事項（個人情報の収集、情報主体への対応、情報の更新、情報セキュリティ等） に対する現在の自社の対応状況について確認する。 に対する現在の自社の対応状況について確認する。 ④関係者の要求を理解する ④関係者の要求を理解する 個人情報保護法に関連して、自社に対して顧客が何を求めているのか（安全管理か、それ 個人情報保護法に関連して、自社に対して顧客が何を求めているのか（安全管理か、それ とも本人対応か、そのレベルは？）を把握する。 とも本人対応か、そのレベルは？）を把握する。 ⑤経営者の考え方を把握する ⑤経営者の考え方を把握する 個人情報の重要性に対する認識、コンプライアンスへの重要視の度合い、顧客に対する考 個人情報の重要性に対する認識、コンプライアンスへの重要視の度合い、顧客に対する考 え方、個人情報保護法への考え方等により、経営者の意識レベルを確認する。 え方、個人情報保護法への考え方等により、経営者の意識レベルを確認する。 ＮＩＣ 参考：想定される方針のパターン例 レベル 方針 １ 何もせず、やり過ごす 実施内容（例） ２ 社員への注意を徹底す る ○就業規則の改訂 ○社員及び委託先との機密保持契約の締結 ○全社員向けの教育研修の実施 ３ 目立つ最重要の個人 データのみ管理策を取 る ○個人データの洗いだし（概要） ○収集から廃棄までの流れの確認 ○本人対応手順と安全管理の整備 ４ 重要な個人データを組 織的に管理する ○組織体制の構築 ○個人データ＆リスクの洗いだし ○目的明確化、安全管理、本人対応の整備 ５ ＪＩＳ規格を利用して ＰＤＣＡ型の管理体制 を整備し、継続的に改 善する ○ＪＩＳＱ１５００１の規格に即した、個人情 報の管理体制及び管理システムの整備 ○上記のシステムに基づいた個人情報の洗いだ しと対策の立案、継続的改善 ６ 情報セキュリティに関 する基準を利用して管 理体制を整備する ○ＩＳＯ２７００１にもとづいたセキュリティ 管理システムを構築し、これに個人情報保護法 対策に必要な目的明確化と本人対応の手順を加 える。 ＮＩＣ 201 【解説】 「実施すべき事項」を明確にすることができたら、次は、「どの程度まで対応するの か」といった自社としての対応の方針（水準）を設定します。同じ「方針」ですが、 「個 人情報保護方針」や「プライバシーポリシー」とは全く違います。 例えば、情報システムのセキュリティ一つとっても、お金を手間をかければかけるほ ど、厳重なセキュリティを実現することができます。まさに金次第です。しかし、現実 には投入できるお金と手間は限られています。私の言う「方針」とは、つまり「どれく らい手間(人手)とお金をかけるか？」ということなのです。 当然のことですが、これは経営者の判断事項です。しかし、何の判断材料もない状態 で、判断せよといわれても困ります。そこで、担当者は、次のような情報を収集し、総 合的に「方針」の案を示し、経営者に決断していただく必要があります。 ①個人情報の実態を把握する 社内にどんな個人情報があるのかを確認します。「個人の権利利益を侵害する程度の 高い個人情報」、あるいは「数万件、数十万件という膨大な個人顧客の情報」というよ うに、質または量の面で厳重な保護が必要であると思われる個人情報を持っている場合 と、「法人顧客の情報」と「従業員の情報」しかもっていない場合では、とるべき対策 のレベルに違いがあります。 なお、「個人の権利利益を侵害する程度の高い情報」とは、例えばクレジットカード 番号のように悪用することで金額的な被害が発生するものや、本籍や健康に関する事項 のように差別につながりやすい情報、年収等多くの個人が知られたくないとする情報等 が該当します。 ②個人情報取扱事業者に該当するか否かを確認する 「個人情報取扱事業者」に該当しない場合には、「漏えいや改ざん」といった安全管 理面での対策に重点をおくことができます。しかし、「個人情報取扱事業者」に該当す る場合は、安全管理に加えて、利用目的の通知等や開示・訂正・利用停止への対応等が 必要となります。 ③現在の対応レベルを確認する 現在の自社の対応レベルを確認します。人事情報の場合には、既に安全管理等が行わ れている場合が多いです。また、書類や電子データの整理整頓がきちんと行われている か否かというのも重要です。文書管理等が適切に行われている会社の場合は、既に高い 安全管理のレベルにありますが、整理整頓がおこなわれておらず、どこに何があるか分 からない、施錠管理もいい加減といった会社は、対応レベルは低いからです。 人間は、よほどのことがない限り急には変われません。ただし、いろいろな会社を見 ていると、同業種同規模の会社であっても、片方の従業員ができないといったことが、 202 別の会社では当たり前に行われているものがたくさんあります。出来ないのではなく、 慣れていないということです。 もし、現在の対応レベルが低いのであれば、対応レベルを一足飛びに高いところにも っていくのは難しいです。徐々に上げる必要があります。 ④関係者の要求を理解する 「自社における個人情報の取扱いについて、顧客はどの程度の対策を求めているのか」 を確認しましょう。例えば、自分の個人情報が漏えいした場合、金融機関からの漏洩と、 近隣の個人商店の場合とどちらに怒りを感じるでしょう？。怒り＝期待している管理の 水準ということで考えれば、顧客の要求のレベルを推し量ることができます。これは法 人間の取引でも同じことです。 また、関係者には、顧客以外に監督官庁があります。所管する官庁のからの個人情報 保護法対策の実施に対する指導監督の水準を確認します。例えば、金融庁は検査項目の 中に、個人情報保護の対策を盛込み、対応状況を直接確認しています。そして数多くの 金融機関に改善勧告を出しています。また、総務省の情報通信業界に対する指導監督も、 比較的厳しいといわれています。これに対して、国土交通省や農林水産省では改善勧告 などはほとんど行われていません。 ⑤経営者の考え方を把握する もっとも大事なのが、この「経営者の考え方」です。対策の構築及び運用にはある程 度の費用が発生します。さらに、いわゆる 余計な手間 が増えます。こうしたことを 経営者がどの程度理解するかによって、実行できる対策の内容は決まってしまうのです。 担当者がいくら熱心でも経営者の理解がないと実現できません。 以上の要因を総合的に判断して、個人情報保護に対する自社の方針を決定してくださ い。なお、あくまで参考ですが、想定される方針のパターンを例としてご紹介しておき ます。一般的な中小企業の場合には、レベル３∼４が目標だと思います。関係者の要求 レベルが高いような場合には、レベル５∼６に挑戦する必要があるかもしれません。 【利用上の注意点】 上記の項目について、項目毎に情報を収集し、表形式にまとめて一覧できるようにし て整理します。ただし、こうした手間をかけられない。あるいは情報を把握することが できないとする場合には、同業他社の動向から判断することも可能です。同業他社の動 向は、顧客や所管省庁の要求の結果だからです。 同業他社に比べて極端に高水準の対策を行うということは、営業上大きなプラスにな る目論見を持っていなければ、無駄な投資に終わる可能性が高いのです。そこで、中途 203 半端な対策を実施するのであれば、 他社よりやや優位という程度が現実的な落としどこ ろとなります。 204 3-3．現状の把握 ３−３ 現状の把握 自社の保有する個人情報を特定し、重要度を評価する。さらに、 業務プロセスを把握し、発生するリスクと要求事項への対応状 況を把握する。 ①自社内にある個人情報を棚卸する 個人情報の在庫状況を確認し、不要なもの（違法なもの）を廃棄する。さらに、収集 方法、廃棄時期、保管場所、利用者、責任者、権利関係等を明確にする。 ②自社内にある個人情報の重要性を評価する 自社の保有する個人情報について、漏洩や改ざん等が発生した場合の情報主体や 自社への影響度をもとに、個人情報の重要度を評価する。 ③重要な個人情報について、収集から廃棄のプロセスを把握する 重要な個人情報について、収集∼利用∼保管∼廃棄の流れを整理する。 ④プロセス毎に発生する可能性のあるリスクを把握する プロセス毎に不正アクセス、漏洩、紛失、改ざんのリスクを把握する。 ⑤遵守すべき内容の対応状況を確認する 重要な個人情報について、遵守すべき事項の対応状況を確認する。（利用目的を明 確にしているか、本人に通知しているか、同意をとっているか等） ＮＩＣ 【解説】 「方針」が決定したら、自社にどんな個人情報がどの程度あって、どのように取り扱 われているのか。法律で求められている事項にどの程度対応できているのかを確認しま す。方針の決定における現状確認は、あくまで概要ですが、ここでは精緻に行います。 ①自社内にある個人情報を棚卸する 自社にどのような個人情報が、どの程度あるのかを確認します。この段階で不要なも のがあれば廃棄し、収集が不要なものがあれば、今後収集を停止します。 さらに、どの部門が収集しているのか、保管場所は、廃棄時期は、どこ（自社または 委託元等）に権利があるのかといったことについても確認しておきます。 ②自社内にある個人情報の重要性を評価する 上記のようにして特定した個人情報について、漏えい等が発生した場合や内容が誤っ ていた場合に、本人又は自社にどの程度の影響が発生するのかを評価することにより、 「重要な個人情報」を特定します。 ③重要な個人情報について、収集から廃棄のプロセスを把握する。 上記で特定した重要な個人情報について、収集、利用、保管、廃棄等のプロセスを確 認していきます。箇条書きで流れを記述したり、フロー図に表す方法があります。 205 ④プロセス毎に発生する可能性のあるリスクを把握する 上記で特定した重要な個人情報の各プロセスにおいて、 漏えいや改ざんの発生する事 件や事故としてどのようなものがあるのかを考えます。自社で起きた事故や他社の事例 等を参考にして、記述していきます。具体的には、書類の転記ミス、整理整頓されてい ないことでの紛失、運搬途中での紛失、保管時の盗難といったことを確認があります。 ③遵守すべき内容の対応状況を確認する 対象となる重要な個人情報の取扱いについて、 「個人情報の保護に関する法律」で求 められていることに、現時点でどの程度対応できているのかを確認します。「遵守すべ き事項の理解」においてチェックリストを作成している場合には、これを使って確認し ます。これにより、何ができていて、何が出来ていないのかが明確になってきます。 【利用上の注意点】 個人情報の棚卸しの段階では、「漏れなく」よりも「重要な情報は漏れなく」という 発想が必要です。また、重要性の評価についても「精緻なもの」ではなく、「おおむね 適切なもの」を目指さなければ評価は出来ません。 また、 「重要な個人情報」が社内にあふれているといったことはめったにありません。 あとの作業のことを考えて、出来るだけ「重要な個人情報」は少なく設定する必要があ ります。そうしなければ、対策の途中で息切れしてしまい、実行がおぼつかなくなりま す。 206 3-4．対策の構築 3-4-1．利用目的の特定と限定利用のための対策 ３−４ 対策の構築 ３−４−１ 利用目的の特定と限定利用のための対策 ①『個人情報の登録管理（個人情報管理台帳）制度の整備』 ①『個人情報の登録管理（個人情報管理台帳）制度の整備』 「個人情報管理台帳」を作成し、新規の個人情報の取得にあたり、登録する 「個人情報管理台帳」を作成し、新規の個人情報の取得にあたり、登録する 制度を整備する。 制度を整備する。 ＜台帳への登録項目の例＞ ＜台帳への登録項目の例＞ ○個人情報、個人データ、保有個人データの分類 ○個人情報、個人データ、保有個人データの分類 ○利用目的【法１５条対応】 ○利用目的【法１５条対応】 ○保有期間、廃棄時期 ○保有期間、廃棄時期 ○保管場所、保有責任者 ○保管場所、保有責任者 ○利用目的の通知、公表実施の有無【法１８条対応】 ○利用目的の通知、公表実施の有無【法１８条対応】 ○第三者への提供の有無【法２３条対応】 ○第三者への提供の有無【法２３条対応】 ○内容に関するメンテナンスの要不要【法１９条対応】 ○内容に関するメンテナンスの要不要【法１９条対応】 ②『利用目的を変更する場合の検討ルールの整備』 ②『利用目的を変更する場合の検討ルールの整備』 利用目的の変更、第三者への提供が必要になった場合等について、改めて 利用目的の変更、第三者への提供が必要になった場合等について、改めて 通知する必要があるか否か等の対策を検討するための体制（ルール）を整備 通知する必要があるか否か等の対策を検討するための体制（ルール）を整備 する【法１８条対応】 する【法１８条対応】 。 。 ＮＩＣ 【解説】 ここでは、 「個人情報の保護に関する法律」の利用目的に関する事項についての対策 を説明します。 「利用目的の特定」 （第 15 条）では「利用目的をできる限り特定し、特定した利用目 的以外に利用してはならない」とあります。さらに、「利用目的の制限」（第 16 条）で は、「利用目的を変更する場合には、原則本人の同意が必要」とされています。これら の要求を満たすためには、以下の２つの対策を実施します。 ①個人情報の登録管理制度（個人情報管理台帳）の整備 文字通り、 「利用目的を特定」するためには、あらかじめ個人情報毎の利用目的をな んらかの方法で明らかにしておく必要があります。そこで、棚卸調査の結果をもとに、 「個人情報管理台帳」を作成し、利用目的を記載しておきます。さらに、管理上必要な 情報として、保有期間、廃棄時期、保管場所、保有責任者等も明確にしておきましょう。 ②利用目的を変更する場合のルールの整備 「個人情報の保護に関する法律」では、利用目的の変更が認められていますが、その 場合には、「変更前の利用目的と相当の関連性があると合理的に認められ範囲」でなけ ればなりません。これに該当しない場合には、変更前に「あらかじめ本人の同意を得る」 ことが必要です。 こうした判断を各部に任せておくと、利用目的を勝手に解釈して不適正な判断をして 207 しまうケースが多発します。そこで、利用目的の変更に関する判断を一本化するルール を整備します。具体的には、「個人情報の利用目的を変更する場合には、個人情報管理 責任者（例えば総務部長）に事前に相談の上で実施すること。」といったことを決めて おくのです。 当然ですが、利用目的を変更した場合には、先の「個人情報管理台帳」の内容も変更 しなければなりません。 【利用上の注意点】 「個人情報管理台帳」は、社内にある全ての個人情報を登録するのが理想的ですが、 スタート時に全てを登録のは、大変なことです。 そこで、重要な個人情報を中心として、 主だったものから登録し、徐々に増やしていくというのも一つの方法です。 208 3-4-2．個人情報の収集における対策 ３−４−２ 個人情報の収集における対策 ①利用目的の通知、公表方法の整備 具体的な利用目的の通知、公表の方法を整備する。特に書面（電子式、電 磁式を含む）での収集については、事前に利用目的を明示する方法を決定す る。既に取得済みの場合には、公表・通知を実施する【法１８条対応】 ○ホームページ、店舗等での掲示による公表 ○申込用紙、ＤＭへの表示による明示＆通知 ②同意の取り方に関するルールの整備 第三者への提供（機微情報の収集等）が必要な場合に同意を得る方法を整 備する【法２３条対応】。 ○申込用紙、ＤＭ等への表記 等 ③情報メンテナンスルールの整備 「個人データ」のうち、正確性を確保する必要があると判断するものを特 定し、これらについて目的達成に必要な範囲内で、具体的なメンテナンス対 策を検討する【法１９条対応】。 ○変更連絡の為の窓口開設と公表 ○システムによる自動変更 ○定期的な調査 ＮＩＣ 【解説】 ここでは、収集時に注意すべき事項と対策について説明します。個人情報を収集する 場合には、利用目的について本人に通知したり、第三者提供等について同意を得るなど が必要となります。 Ａ．利用目的の通知、公表方法の整備 個人情報の利用目的については、 「利用目的が明らかである場合」や法令に定められ ている場合等を除き、公表、明示、通知等の方法によって利用目的を本人に知らせる必 要があります（第 18 条）。そこで、以下のような方法を実施します。 ①ＨＰへの掲載（公表） 上記の 18 条のほかに、 「保有個人データに関する事項の公表等」 （第 24 条）において、 「事業者の氏名」「開示訂正利用停止の手続き」等の公表が義務付けられていることか ら、これらと「個人情報の利用目的」について、ホームページや店頭への掲示等により 公表します。 ②申込み用紙等への記載（明示） 本人より直接書面（電磁的方法を含む）により個人情報を収集する場合には、本人に 対して、利用目的を明示しなければなりません。そこで、申込み用紙の上部や申し込み 事項を記載するホームページの前に当該個人情報の利用目的を明示しておきます。 209 ③後日の連絡（通知） もし、本人以外から個人情報を収集したような場合（間接収集）には、商品の発送等 のように本人に接点をもつ場合に、通知します。 Ｂ．同意の取得 もし、収集する個人情報を自社または本人以外の第三者に提供する場合には、事前に 公表している等の場合を除き、原則として同意が必要ですので、収集する段階で同意を 得ておきます。前出した申込み用紙などを利用するケースで、同意が必要な場合には、 同意する旨のサインやチェック等を求めるようにします。 Ｃ．個人情報のメンテナンスルールの整備 上記のように、個人情報の利用目的を本人に知らせるとともに、収集に関する対応事 項としては、個人データのメンテナンスルールの整備が必要です。 メンテナンスとは、 「利用目的の達成に必要な範囲内で正確性を確保する」 （第 19 条） ために、個人情報の変更などを適切に管理するための対策です。 具体的には、顧客や従業員の住所変更や婚姻等に伴う苗字の変更などがあった場合に、 本人からの申請を受け付け、社内の個人情報を改変するための窓口や連絡先の設置しま す。 【利用上の注意点】 「利用目的が明らかである場合」には、個人情報の利用目的を公表、明示、通知は不 要です。これにより、例えば名刺の入手や宅配便の申込伝票への記載について利用目的 の公表や明示が行われていません。ただし、「利用目的が明らかである場合」は、どこ までなのかという明確な区分が存在しませんので、対策を実施する各社の任意というこ とになっています。 限定的に解釈すると多くの個人情報の取得にあたって利用目的の明示や通知が必要 となり、拡大解釈すると、本来明示や通知が必要な個人情報の収集についても明示や通 知が行われないなどの問題が発生します。 210 参考１：個人情報の保護に関する法律に基づくホームページ等での公表事項 参考１：個人情報の保護に関する法律に基づくホームページ等での公表事項 第24条等にもとづき、以下の事項について自社のホームページや店 舗内の掲示等により本人が容易に知り得る状況にする。 個人情報取扱事 自社の会社名及び本社住所などを記載する。 業者の名称 個人情報の利用 第24条では全ての保有個人データの利用目的となってい るが、第18条に対応するため、個人情報の利用目的を記 目的 載する。 開示訂正利用停 開示（25条）、訂正（26条）、利用停止（27条）に関する手 続き及び手数料（30条）を記載する。 止等の手続き 苦情及び相談の 個人情報の保護に関する法律施行令第5条１項により、 受付 個人情報の取扱いに関する苦情の連絡先を記載する。 個人データの第 個人データの第三者提供を実施する場合は、23条2項に 三者への提供 より、必要事項を記載する。 個人データの協 個人データの協同利用を実施する場合は、23条4項三に 同利用 より、必要事項を記載する。 ＮＩＣ 【解説】 ここでは、 「個人情報の利用目的の通知又は公表」と「保有個人データに関する事項 の公表」に対応したホームページへの公表事項の作成手順を説明します。 「個人情報保護方針」をＨＰ上で掲示している企業も多数見られますが、一部の省庁 ガイドライン（例えば、 医療介護分野に関するガイドラインにおける院内掲示）を除き、 「個人情報保護方針」は義務ではありません。 「個人情報の保護に関する法律」第 18 条、24 条にもとづき公表が必要な内容は、上 記の通りです。 「個人情報の利用目的」については、第 24 条では、保有個人データに限定されてい ますが、第 18 条への対応のために、 「保有個人データ」を「個人情報」と拡大していま す。次ページに記載例を示しておきますので、これをもとに自社における内容に変更し てください。なお、「第三者提供」と「共同利用」については、該当する事項がなけれ ば、記載は不要です。 上記の「第三者提供」に該当する場合には、第 23 条 2 項に従い、以下の事項を記載 しておきます。 ①第三者への提供を利用目的とすること ②第三者に提供される個人データの項目 ③第三者への提供の手段又は方法 ④本人の求めに応じて当該本人が識別される個人データの第三者への提供を停 止すること 211 次に、上記の「共同利用」に該当する場合には、第 23 条 4 項に従い、以下の事項を 記載しておきます。 ①個人データを特定の者と共同して利用すること ②共同して利用される個人データの項目 ③共同して利用する者の範囲 ④利用する者の利用目的 ⑤当該個人データの管理について責任を有する者の氏名又は名称 【利用上の注意点】 作成作業において問題となるのが、「個人情報の利用目的どの程度具体的に特定すれ ばよいのか」ということです。次ページの事例のように総括的に公表する場合には、あ る程度集約しても良いとされていますが、「本人が何に利用されるのかを認識可能な程 度」の具体性を持っている必要があります。 例えば、「当社の事業活動に利用します」では、何に使われるのかを想定することが できません。そこで、 「当社サービスに関する情報提供、見積り」あるいは「現場管理、 生産管理、請求などの事務」といった程度の具体性が必要となります。 212 ２００×年×月×日 株式会社中小産業における個人情報保護法に関する公表事項 当社は、 「個人情報の保護に関する法律」（平成 15 年 5 月 30 日法律第 57 号）にもと づき、以下の事項を公表致します。 １．個人情報取扱事業者の名称 株式会社 中小産業 （所在地：神奈川県横浜市西区 1-1-1） ２．用語の定義 当社は、 「個人情報の保護に関する法律」 （以下同法とする）第２条による以下の定義 による分類にもとづいて、個人情報を取り扱います。 名称 個人情報 定義 生存する個人に関する情報であって、特定の個人を識別することが できるもの。 個 人 情 報 デ 個人情報を含む情報の集合物であって、特定の個人情報を電子計算 ー タ ベ ー ス 機を用いて検索することができるように体系的に構成したもの。あ 等 るいは、特定の個人情報を容易に検索することができるように体系 的に構成したもの。 個人データ 個人情報データベースを構成する個人情報のこと。 保 有 個 人 デ 当社が開示、内容の訂正、追加又は削除、利用の停止、消去及び第 ータ 三者への提供の停止を行うことのできる権利を有する個人データ のこと（ただし、その存在が明らかになることにより公益その他の 利益が害されるもの、又は６ヶ月以内に消去するものは除く）。 ３．個人情報の利用目的 当社は、以下の利用目的の達成に必要な範囲で、個人情報を利用することがあります。 ・当社サービスの提供に必要な情報の収集、提供、連絡、確認、記録等の業務 ・上記に関連する連絡、相談、受発注、アフターサービス等の受付、対応、管理等の ため ・上記業務に関連する、与信管理、契約、支払い、請求等の事務 ・当社従業員の労務管理、健康管理、給与の支払い等に関する対応、確認の記録など の業務 ・当社採用希望者の受付及び採用に関する情報の提供、選考 213 ４．第三者への提供 当社では、以下のとおり個人データを第三者に提供することがあります。なお、第三 者に提供します個人データは、ご本人からの申請にもとづいて、第三者への提供を停止 します。停止の連絡は、個人情報相談窓口までお願いします。 ＜提供される個人データの項目＞ ・○○サービスをご利用いただいた方の氏名、連絡先 ＜第三者への提供の手段又は方法＞ ・弊社ホームページへの掲載 ５．個人データの共同利用 当社は収集した個人データについて、以下のとおり共同利用することがあります。 ＜共同して利用される個人データの項目＞ ・××サービスの会員のお客様の氏名、連絡先、会員番号、利用履歴 ＜共同して利用する者の範囲＞ ・××サービスを実施する××商会、▲▲コーポレーション、■■興業 ＜利用する者の利用目的＞ ・××サービスの会員に対して、共同してご提供するため ＜個人データの管理についての責任者＞ ・当該個人データの管理については、株式会社中小産業が責任を負います。 ６．「個人情報の保護に関する法律」に関する手続き 個人情報の保護に関する法律にもとづいた「保有個人データ」に関する内容の開示、 訂正、利用停止の手続きにつきましては、下記までお問い合わせください。 申請の際には、安全管理と正確性を確保するため「ご本人様（又は代理人）であるこ との確認」及び「対象となる保有個人データを特定するに足りる事項の提示（同法２９ 条）」をお願いする場合がありますので、ご協力をお願いします。また、利用目的の通 知及び内容の開示につきましては、申請手数料（同法３０条）として、申請時に××× 円をいただきます。 【個人情報相談窓口】 株式会社 中小産業 総務部 個人情報管理責任者 電話番号：０４５−×××−×××× ７．当社の個人情報の取扱いに関する苦情及び相談の受付 当社の個人情報の取扱いに関する苦情及び相談につきましては、下記までご連絡下さ い。 【個人情報相談窓口】 株式会社 中小産業 総務部 個人情報管理責責任者 電話番号：０４５−×××−×××× 214 参考２：個人情報の収集時の通知及び明示の事例 参考２：個人情報の収集時の通知及び明示の事例 第18条等にもとづき、個人情報を取得する際には、以下のような事 項を公表するか、収集時に明示あるいは収集後に通知する。 なお、直接本人から書面により収集する場合のみ、明示が必要で あり、それ以外の場合は、公表または通知でよい。 ＜公表または明示の文例＞ 今回ご提供いただきましたお客様の個人情報は、○○○○に関する受注、進捗管理、連絡、請 求、当社のサービス向上及び関連する情報の提供等に利用いたします。法令にもとづく場合を除 き、お客様のご同意を得ることなく、第三者に提供することはございません。 当社の個人情報の取扱い及び苦情等の問合せにつきましては、以下のＨＰをご確認ください。 http://www.▲▲▲.com/ ＜インターネットによる変換サービスの受付における説明＞ 以下の事項をご確認いただき、ご同意いただける場合には、以下のボタンをクリックし、 お申し込みフォームにお進みください。 今回ご提供いただきますお客様の個人情報は、○○○○の受注、進捗管理、連絡、請求、 当社のサービス向上及び関連する情報の提供に利用いたします。 法令にもとづく場合を除き、お客様のご同意を得ることなく、第三者に提供することはござ いません。 当社の個人情報の取扱い及び苦情等の問合せにつきましては、以下のＨＰをご確認くださ い。 http://www.▲▲▲.com/ ＮＩＣ 【解説】 先にご説明しましたように、個人情報を収集する場合には、利用目的の公表、通知又 は明示が必要です（第 18 条）。さらに、第三者提供の同意（第 23 条）なども必要とな ります。ここでは、申込み用紙や案内状等に記載するための文章について解説します。 ①利用目的の記載 利用目的はできるだけ具体的に記述します。なお、ここに記載した利用目的以外に利 用するためには、あらかじめ本人の同意が必要になりますので、利用目的として考えら れることは全て記載しておくことがポイントです。 なお、一般的に考えて利用目的が明らかである場合（例：宅配便の送付を目的として、 送付表に送付先と依頼者の氏名と連絡先を記載すること）には記載は不要です。 ②第三者提供の有無 収集した情報について第 23 条２項にもとづく公表を行っている場合を除き、原則的 に第三者提供を行う場合には、第三者提供について同意を得る必要があります。 申込書などに第三者提供を行うことを明記し、 申し込まれる方にご確認いただいたの ちに申込みを受け付けることにより、同意を得たと判断することも可能です。しかし、 後になって「聞いていない」ということで問題となる可能性がありありますので、可能 な限り同意の意思表示を明確にうけることが望ましいです。 215 ③共同利用の有無 共同利用の有無を記載します。共同利用することがない場合には、「共同利用するこ とはありません」などと記載します。なお、共同利用は、第三者提供の例外事例として 位置づけられていますので、第三者提供も、共同利用も実施しない場合には、「ご本人 の同意を得ることなく、第三者に提供することはありません」との表現でまとめても良 いと思います。 ④個人情報の保護に関する法律にもとづく手続きの案内 保有個人データの開示、訂正、利用停止及び個人情報に関する苦情等の連絡先を本人 にお知らせする必要があることから、これら記載した自社のホームページのアドレスな どを添え書きしておきます。あるいは、ホームページを見ることができない人のために、 連絡先及び電話番号を記載しておくことも必要です。 【利用上の注意点】 ホームページや店舗への掲示により個人情報の利用目的を公表する場合には、 利用目 的について総論的な内容でも良いとされていますが、ここで示すように個別の申込書等 の場合には、利用目的等について詳細に記載する必要があります。 なお、利用目的等の明示については、すでに多くの企業で実施されているので、これ らの事例を紹介するのも参考となります。 216 3-4-3．間接収集時の注意 ３−４−３ 間接収集時の注意 個人情報を本人以外から間接的に収集する場合には、「違法な収集 ではないか」「法令に準じた手順で収集されているか」といったことを、 収集源に確認する必要がある。もし、こうしたことが確認できない場 合には、利用を控えたほうが懸命である。 以下のように、常識で考えて、一般に出回るはずのない個人情報について は、違法性があると判断して購入したり入手しないこと。 ＜例＞ 「多重債務者名簿」「民間スポーツクラブ等の入会者リスト」 「特定業種の従業員リスト」「金融機関等の重要顧客リスト」 「○○商品の購入者リスト」 等 名簿業者自体が名簿を販売する行為は禁止されていない。しかし、これを購 入して利用した企業は、違法な取得として法令違反となる可能性が非常に高 くなるので、注意が必要である。 ＮＩＣ 【解説】 本人以外から間接的に個人情報を収集する場合には「違法な取得」と「本人への通知」 に注意が必要です。 ①違法な取得に該当しないか 本人をだまして個人情報を収集するのは、明らかに違法な取得ですが、本来出回るは ずのない個人情報を取得するのも、違法性が高いといわれても否定できません。本来出 回るはずのない個人情報ということは、従業員等の関係者の窃盗により収集されたもの ということが容易に想定されるからです。具体的には、 「多重債務者リスト」 「金融機関 の重要顧客リスト」などです。また、現在のように個人情報の管理が厳しくなってくる と、「民間スポーツクラブ等の加入者リスト」「特定業種の従業員リスト」「○○商品の 購入者リスト」といったものについても、窃盗による疑いが濃くなります。なお、こう した名簿を販売する行為自体は、禁止されていません。 また、本人に対して第三者提供の説明がない個人情報を間接的に収集するのも、厳密 に言えば個人情報の保護に関する法律に違反していることになりますので、情報源に対 して、 「第三者提供に関する公表」あるいは、 「第三者提供に関する同意の取得」のいず れかが行なわれていること、特に公表については、容易に知り得る状態での公表である ことを確認する必要があります。 卒業生名簿や各種の会員名簿の背表紙などに「本名簿は会員相互の連絡ために利用す るのみとしています。営業目的での利用を禁止します。」等の注記がある場合も、利用 できないと判断したほうが良いです。 217 いずれにしても、素性の怪しい名簿等は使えないということです。 ②利用するにあたり、本人への通知が必要です 間接収集した場合には、あらかじめ、あるいは利用と同時に本人に通知しなければな りません。例えばダイレクトメールの送付状等に、利用目的などを記載して通知するの です。間接収集において、こうした通知を実施した結果「利用を止めて欲しい」との要 請があった場合には、利用を停止したほうがよいと思います。 【活用時の注意事項】 名簿業者による名簿販売が依然として続いていることから、名簿業者から購入した名 簿について、違法性はないとの認識がありますが、あくまで販売行為が違法でないだけ で、盗品である名簿を購入して使用した場合には、違法性が問われます。要するに情報 源の不明な名簿は使えないということです。もし、情報源が明確な場合には、個人情報 保護法にもとづく第三者提供の手続きが行われていることを確認した上で、利用しまし ょう。 また、直接収集の場合には、本人への通知等を省略することも可能ですが、間接収集 の場合には、通常の場合には、通知は必須となります。 ちなみに、間接収集であっても利用可能な個人情報としては以下のものがあります。 ①ＮＴＴグループが発行している電話帳（タウンページ等）及びこれらを電子化 して販売しているもの ②地図会社が製作して販売している住宅地図やカーナビゲーションシステムの地図デ ータ 218 3-4-4．第三者提供における注意 ３−４−４ 第三者提供における注意 第三者提供は本人の同意がない場合には原則禁止です。ただし、 以下のような場合には、同意を得なくても提供することが出来るとさ れています。 ①法令にもとづく場合 ②人の生命身体又は財産の保護のために必要がある場合であって、本人の同意を得 ることが困難であるとき。 ③公衆衛生の向上又は児童の健全な育成の推進のために、特に必要がある場合で あって、本人の同意を得ることが困難であるとき ④国の機関若しくは地方公共団体又はその委託を受けた者が、法令の定める事務を 遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより 当該事務の遂行に支障を及ぼす恐れがあるとき 「法令にもとづく場合」以外は、全て「本人の同意を得ることが困難である」や「本人の 同意を得ることにより当該事務の遂行に支障を及ぼす可能性がある場合」とあるよう に、提供する側の責任を求めていることに注意が必要です。 ＮＩＣ 【解説】 第三者提供については、本人の同意がない限り、原則として禁止とされています。た だし、「法令にもとづく場合」は、本人の同意が不要ということになっています。 この、「法令にもとづく場合」とは、例えば、会社法第 125 条２項の株主名簿の閲覧 等のように、具体的に第３者提供がきむづけられている場合を指しています。 あるいは、警察官による捜査令状にもとづく捜査（刑事訴訟法第 218 条）や裁判所に よる証拠物件の差し押さえ（刑事訴訟法第 99 条第２項）、税務署等による税務上の質問 調査権にもとづく調査（地方税法第 72 条の７や同条 29 の 5）等の捜査が該当します。 ここで注意が必要なのは、例えば、警察や地方自治体等への任意での協力にあたり、 個人情報を提供する場合です。この場合には、警察や検察等の捜査機関からの刑事訴訟 法第 197 条にもとづく照会（捜査ではなくあくまで任意の協力）等の場合には、同意を 得なくても良いいう見解がありますが、こうした、同意を得るかどうかのリスクは、最 終的に情報を提供する企業の側にあります。 そこで、警察や検察、税務署等による捜査への協力を求められた場合には、個人情報 の保護に関する法律の 23 条に関する見解を求め、その返答内容を確認した上で、捜査 などに協力するために必要な個人情報を提供するのが良いと思います。ただし、その場 合にも応答の内容を含めた事項を記録しておきます。 こうした法令に関連する以外には、人の生命身体又は財産の保護のために必要がある 場合であって、本人に同意を得ることが困難であるときがあります。具体的には、従業 219 員が作業中に、意識不明の状態で病院に運ばれた場合、付き添っている会社の人が、従 業員の氏名や血液型、家族の連絡先等を病院に提供するようなことが考えられています。 【利用上の注意点】 第三者提供については、原則的には同意を得なければ禁止ということですが、実際の 社会においては、何らかの場面や要請により、第三者提供が必要となります。その際に、 その第三者提供は必須なのか否か、 あるいは上記で説明したような例外に該当するのか 否かについて、注意して対応しなければなりません。 220 3-4-5．安全管理策の策定 ３−４−５ 安全管理策の策定 ①組織的な安全管理策の策定 個人情報利用者の役割と責任、安全管理に関する規定や業務上の手順を整 備する。 ②人的な安全管理策の策定入（社員への対応） 従業員との間での非開示契約の締結、個人情報の取り扱いに関する教育の 制度を整備し、実施する。 ③物理的な安全管理策の策定 施錠可能な什器・備品の導入、機器類の固定、非常用電源装置の導入等に ついて検討する。 ④技術的な安全管理策の策定 情報へのアクセスに関する認証、パスワード設定によるアクセスの制御、 アクセスログの収集、監視カメラの設置等の監視機能を導入する。 ⑤委託先の監督ルールの整備 「個人データ」の取扱を委託するにあたって、安全管理措置の内容を契約 書に盛り込むとともに、契約内容が遵守されているか否かを定期的に確認す るためのルールを取り決める【法２２条対応】 ＮＩＣ 【解説】 個人データの漏えいや破損、内容の正確性を確保するなどのために採るべき主な安全 管理策は、以下の４つに分類されます。 それぞれの対策の詳細については、 「経済産業分野における個人情報の保護に関する ガイドライン」（経済産業省）に具体的な記載がありますので、対策を考える際に参照 してください。 ①組織的な安全管理策 個人情報の取扱いについてのルールを定めることです。ルールとしては、全社的な安 全管理に関する方針、個人情報を利用するものの役割と責任を明確にする。あるいは、 個別の個人情報の収集、運搬、保管、廃棄の手順を定めるといったことがあります。 ②人的な安全管理策 個人情報を取扱う従業員の意識や知識を高めることです。個人情報の重要性を認識さ せるような啓発教育、あるいは個人情報の収集、運搬、利用、保管、廃棄の具体的な手 順について教育します。 さらに、意識を高めるために「非開示契約書（機密保持契約書）」を締結したり、罰 則を定めるといったことも行われます。ただし、罰則を定める場合や、「非開示契約書 （機密保持契約書）」により損害賠償を請求するような場合には、労働関係法規に違反 する恐れがあるので、注意が必要です。 221 ③物理的な安全管理策 個人情報が記載された紙媒体、個人情報が入った電子媒体等の運搬、保管や廃棄。利 用場所における盗難や盗み見といった事への対策です。具体的には、入退室管理や施錠 管理、シュレッダーによる廃棄の徹底等があります。 ④技術的な安全管理策 個人情報が記載された電子データの漏えいや毀損、紛失等の防止です。具体的には、 電子データへのアクセスの制御、記入や複写、印刷の制御などがあります。 また、これらの他に電子データを利用する環境における不正ソフトの侵入防止、停電 や故障時の対応といったことも含まれます。 これら４つ以外に、委託に伴い委託先に個人データを一時的に提供する場合について も、自社と同じレベルの安全管理を実現してもらう必要があります。 そこで、委託にあたっては、提供する個人データの適正な安全を確保できる先である かどうかを選定の基準に盛り込んだり、契約内容において安全管理の徹底を約束させま す。さらに、重要な個人データの場合には、具体的な取扱い上の制限を伝えるなどを行 う必要があります。 【利用上の注意点】 安全管理策は、各個人情報毎に収集、運搬、保管、廃棄のプロセス毎に発生するリス クを識別したうえで実施します。 なお、対策には、「予防」としての発生防止策、 「発見」としての早期発見方法、「低 減」としての発生した場合の被害を低減する方法等があります。 222 参考１：安全管理策構築のポイント 参考１：安全管理策構築のポイント ①個人情報毎の責任者の設置 各個人情報毎に管理の責任者を明確にする。 ②アクセスの制御 個人情報に対してのアクセス権限を最小限にする。 ③アクセス状況の記録 遵守状況の確認や違反者発生の抑制のため、個人情報へのアクセス状 況を記録する。 ④検知、検証 ルール違反、事件事故の発生を検知する。事件事故が発生しているか否 かを検証する。あるいは事故が発生したときに原因を調査できるようにする。 ＮＩＣ 【解説】 重要な個人情報について、適正な安全管理策を考える上では、以下の事項に注意して 検討すると効果的です。 ①重要な個人データ毎に責任者を設置する 責任者が不明確であれば、誰もが自分の責任ではないと考え、無責任な管理状態に陥 ります。しかし、社長や部長等を責任者にすると、普段現場に接していない場合が多い ので、無責任状態はなかなか解決しません。 そこで、実際の現場を管理する立場にある課長や係長クラスをそれぞれの個人データ の取扱いに関する責任者とします。そして、責任者に対しては、個人データの漏えい事 件等が発生した場合には、対外的には経営陣が責任を取るが、社内的には当該責任者が 責任を取ることを強調して説明しておきます。 ②アクセスを制限する 当該個人データを見たり、持ち出せたりする人が多いほど漏えいや盗難は多くなりま す。そこで、当該個人情報を利用できる者を必要最低限に限定し、紙媒体の場合には常 時施錠、電子データの場合には、ファイルやホルダーにパスワードを設定します。 多くの企業では、既に人事情報等は、総務部門の人事担当者と役員程度しか閲覧でき ないように制限されている場合が一般的ですが、それと同じような状況を目指します。 なお、厳しい会社になると、少人数の担当者以外、例えば上司や社長でさえもアクセス できないようなルールを設定しています。 223 ③アクセス状況を記録する 当該個人データを誰が見たり使ったりしたのかを確認できるようにするのが望まし いです。例えば紙媒体等であれば、収納場所の鍵の貸し出し記録を作成したり、電子デ ータであれば、対象ファイルのアクセス記録を収集できるようなソフトウエアを利用し ます。こうした記録は、漏えいなどの事件があった場合の検証資料として利用すること ができますし、従業員犯罪を抑止するのに大きな効果があります。 ④ルール違反の有無を点検する 人間は、誰かに見られていなければ、次第にルール違反が常態化するものです。そこ で、上記のように収集した記録を分析したり、あるいは、抜き打ちでルールの遵守状況 を調査することにより、ルール違反の有無を点検します。 個別に詳細な検査を実施するのも良いですが、 例えば早朝に出勤して施錠や整理整頓 の状況を確認するだけでも、有効です。 【利用上の注意点】 安全管理策については、例外を誇大に解釈するあまり、対策の実施をあきらめてしま ったり、極端に厳密なルールを決めるあまり、現場が混乱するといった状況が散見され ます。 例えば、「アクセス制御」といっても、別に一人に限定しなければならないというの ではなく、業務上取扱いが必要な範囲の人に限定するということです。 また、アクセスの制御も、施錠可能な場所に収納するといったことで十分対応可能で す。電子データの場合でも、ファイル毎にパスワードを設定するのではなく、フォルダ ーベースでアクセスを権限するなどの工夫により、利用者の負担を軽減することが必要 です。 224 参考２：廃棄時の安全管理のポイント 参考２：廃棄時の安全管理のポイント ①文書類の廃棄 重要な文書を廃棄する場合には、シュレッダーを使用する。手で裂いた程 度ならば何もしないのと同じ。 廃棄物処理業者に依頼する場合には、廃棄処理に伴う漏えいの責任を 明確にしておく。また、事故発生時の廃棄物処理業者の補償能力も確認し ておくこと。 ②パソコンの廃棄 ハードディスク内のデータを完全に消去するため、ハードディスクのみを 取り出し、物理的に廃棄する。または、専用ソフトを使って、データを完全に 消去する。 廃棄物処理業者に依頼する場合には、機密保持契約を締結し、廃棄証 明書を発行してもらう。 ③ＵＳＢメモリ、ＣＤ、ＤＶＤの廃棄 ＣＤやＤＶＤを廃棄する場合には、物理的に破壊すること。そのままの状 態で廃棄してはいけない。ＵＳＢメモリーなども同じ。 なお、こうした媒体は持ち運びが容易なうえ、紛失しやすいものなので、そ もそも出来る限り重要な個人情報等に利用しないこと。 ＮＩＣ 【解説】 安全管理対策において忘れらがちあり、重要な事項ととして「廃棄方法」があります。 重要な個人情報の多くは、本人等から収集された後、社内に留まり続ける場合が多いの ですが、最終的に廃棄により社外にでていくことになります。一般的には、以下の３点 に注意してください。 ①文書類の廃棄 文書類（紙媒体）の場合には、シュレッダーの利用が有効です。ただし、廃棄すると きに、直ちにシュレッダーを利用する場合は問題ありませんが、特定の場所にためてお いて、一定量たまったらシュレッダーにかけて廃棄するというケースが多く見られます。 この場合には、一時的保管している場所の安全管理が重要となります。毎日退社時にま とめてシュレッダーを利用し、廃棄物をそのままにしておかないのが良いでしょう。 ②パソコンやサーバ等の廃棄 リース期間が終了したパソコンをそのままリース会社に返却することは危険です。ま た、廃棄にあたりパソコンやサーバのハードディスク内のデータを消去したり、再フォ ーマットするだけでは、もとあったデータを復元することが出来ます。実際に、中古パ ソコンからデータを再生するのを趣味としているマニアが存在します。 そこで、パソコンやサーバを廃棄するにあたっては、ハードディスクを取り出して物 理的に破壊するか、市販されている専用のソフトウエアを使用してデータを消去してか ら、廃棄又はリース会社に返却してください。なお、廃棄物処理業者に依頼する場合に 225 は、廃棄途中に漏えいした場合の責任を契約書等で明記しておき、廃棄証明書を発行し てもらうようにしましょう。 ③ＵＳＢメモリ、ＣＤ、ＤＶＤ等の廃棄 重要な個人情報を記録しているＣＤやＤＶＤ等を廃棄する場合にも、物理的に破壊し ましょう。最近はＣＤやＤＶＤに対応したシュレッダー等も販売されています。 また、ＵＳＢメモリについても、メモリー内のデータを消去するだけではなく、物理 的に破壊するのが望ましいです。 【利用上の注意点】 廃棄については、上記のように媒体ごとに適した廃棄ルールを設定します。 なお、実際の運用においては廃棄手順は比較的遵守されていますが、 「廃棄時期（又 は保管期間） 」が守られないことがしばしばあります。上記のように廃棄方法を決定す るにあたっては、対象とする個人情報毎に「廃棄時期（又は保管期間）」を決定し、こ れの遵守を徹底する必要があります。 226 3-4-6．従業員教育の実施 ３−４−６ 従業員教育の実施 ①個人情報の重要性 業務において収集利用している個人情報の重要性について、悪用され た場合の本人への影響や、会社及び従業員への影響について説明し、 個人情報の取扱いにおける意識の転換を求める。 ②個人情報の取扱手順 各従業員が業務において取り扱っている個人情報の収集、利用、保管、 廃棄の具体的な手順を決定し、当該従業員に説明する。 ③個人情報に関する苦情や事件事故が発生した場合の対応 本人から当社の個人情報の取扱いについて問合せや苦情があった場合 の対応。個人情報の漏えいや紛失、目的外利用等の事件事故が発生した あるいは発生した恐れがある場合の対処方法を決定し、従業員に説明す る。 ＮＩＣ 【解説】 先に示した４つの安全管理策のうち、中小企業において最も重要なのは、「人的安全 管理策」です。その中でも特に教育は重要です。個人情報の保護に関する教育には、次 の３つの要素を含む必要があります。 ①個人情報の重要性の理解 個人情報はお客様からお預かりした重要なものであり、 もし漏えいして悪用されるよ うなことがあれば、本人にどのような迷惑が及ぶのか、あるいは、会社にとってどのよ うな影響が及ぼされるのかということを理解させることが必要です。 例えば、自分の娘の個人情報が犯罪者に漏えいし、悪質な嫌がらせの電話や電子メー ルが届けられたり、ストーカー行為に及ぶといったことを連想しましょう。 現実に、チケット販売会社から個人情報が漏えいし、消費者金融の勧誘電話や郵便、 電子メール等が毎日数件届き、精神的に負担が発生したり、市町村の住民基本台帳の情 報をもとに、多数の女児に対して性的犯罪に及ぶといったことが発生しています。 ②個人情報の取扱手順の教育 上記により、従業員自らが使っている個人情報の重要性を理解できたとしても、具体 的にどのように取扱うべきかが明確でなければ、安全性を確保することはできません。 よく、「漏えいしないようにしろ」等の精神論を唱えるケースが見られるが、唱えら れた従業員は、正直、どうやっていいのか分かりません。やはり、漏えいなどの発生す るリスクをきちんと分析し、これを防止するための手順を整備し、従業員に対して説明 227 する必要があります。 ③個人情報に関する苦情や事件事故が発生した場合の対応 もし、顧客より個人情報に関する苦情が寄せられた場合にどのように対応するのか、 あるいは事件事故が発生した場合に、誰に連絡するのか、といったことを周知しておき ます。 事件や事故が発生しないようにルールを守ることは当然ですが、もし事件や事故が起 きてしまったら、事件や事故を起こした従業員の責任追及よりも、会社としての応急対 応のほうがはるかに重要です。そこで、事件や事故を隠したり、いい加減に処理したり してはいけないことを周知することも重要です。 【利用上の注意点】 個人情報保護についての従業員教育の実施は、重要な個人情報を取扱う企業では特に 重要です。 しかし、実際には、 「誓約書」を提出させ、 「とにかく漏らすな」などと理念的な説明 に留まる場合も少なくありません。しかし、こうした方法では、事件事故が発生して、 会社や経営者の責任を問われた場合には、責任者として果たすべきことを実施していな かったといわれる可能性が高いと思われます。 やはり、安全確保のための具体的な手順を整備し、これに従って業務を行うように指 示する必要があります。 228 3-4-7． 本人への対応（苦情受付等）に関する対策 ３−４−７ 本人への対応（苦情受付等）に関する対策 ①個人情報の開示、訂正、利用停止に関する受付方法の整備 情報主体からの要請に対して、「受付」「内容及び事実性を確認」「対応 を検討」「対応を実施」「報告・説明」する体制を整備する。【法２８条、 ２９条対応】 ②個人情報の開示、訂正、利用停止に関する受付方法の公表 「個人情報取扱事業者の氏名」「利用目的」「利用目的の通知請求（手数 料を含む）」「開示請求」「内容の訂正、追加又は削除の請求」「利用の停 止又は消去の請求」「第三者への提供の停止」の手続きを公表あるいは本人 に通知する仕組みを整備する。【法２４条対応】 ＜例＞電話での対応窓口を自社のＨＰやパンフレット等で公表する。 ③個人情報の取扱いに関する苦情への対応体制の整備 個人情報の取扱いに関する苦情の対応に必要な体制を整備する【法３１条 対応】。 ＜例＞ ○個人情報に関する苦情受付窓口（担当部門、電話番号、メールアドレ ス）の設置 ○苦情の具体的な受付ルールの整備 ○苦情を受けた場合の社内での調査、検討ルールの整備 ＮＩＣ 【解説】 「個人情報の保護に関する法律」では、個人が自己の個人情報をコントロールする権 利を保護するということで、 「保有個人データの開示・訂正・利用停止への対応」 「苦情 及び相談への対応」を求めています。 ここでは、この２点への対応について説明します。 Ａ．保有個人データの開示・訂正・利用停止への対応 ①保有個人データの開示・訂正・利用停止の受付及び対応方法の整備 本人より保有する保有個人データの内容について開示の求めがあった場合。保有個人 データの内容が事実と異なるという理由で訂正の求めがあった場合。目的外の利用、違 法な取得、同意のない第三者提供を実施しているという理由で利用停止を求めがあった 場合。この３つの求めには対応しなければなりません。 そこで、こうした求めの受付方法、受付後の社内調査方法、本人への連絡方法等につ いて、あらかじめ決定しておきます。なお、のちのちのトラブルを避けるために、こう した求めは文書で受けるようにします。また、内部での調査や本人への説明についても 文書を残しておく必要があります。 ②保有個人データの開示・訂正・利用停止の受付方法の公表 上記で決定した、保有個人データの開示・訂正・利用停止の受付方法は、ホームペー ジ等や店頭での掲示等により、広く知らせておく必要があります。 229 Ｂ．個人情報に関する苦情及び相談への対応 ①個人情報に関する苦情及び相談の受付及び対応方法の整備 本人より、個人情報の取扱い等について苦情及び相談があった場合も、適切に対応し なければなりません。上記と同じように、受付方法、対応方法についてあらかじめ決定 しておきます。 実は、個人情報の漏えい事件は、外部からの連絡や苦情等により発覚するケースが多 いことから、苦情及び相談の対応にあたっては、原因究明のための調査が重要になりま す。 ②個人情報に関する苦情及び相談の受付の公表 保有個人データの開示・訂正・利用停止で説明したのと同様に、苦情等の連絡先につ いて、ホームページや店頭に掲示します。 【利用上の注意点】 保有個人データの開示・訂正・利用停止については、実際にこうした申し出はまずあ りませんが、 法律を理解し適切な対応をとっていることを外部に示すためには重要な対 策になります。 苦情及び相談についても同様です。ただし、解説に記載したように、苦情は、漏えい 事件事故の発見の契機となる場合が多いので、 社内調査の迅速な実施が重要となります。 230 3-4-8．事件事故時の対応 ３−４−８ 事件事故時の対応 ①事件事故が発生した場合の対応方法の整備 個人情報に関連した事件事故が発生した場合の対策として以下の事項につ いて決めておく。 ○緊急対策委員会等の組織体制及び責任者 ○上記関係者の役割 ○上記委員会での調査検討項目 ○通報、報告先の特定 等 ②本人への連絡方法の確認 個人情報の漏えい事故が発生した場合、犯罪等に利用され被害が発生する のを防ぐためにも、漏えいした個人情報の本人に報告し、注意を喚起する必 要がある。 そこで、本人への連絡の方法や手順、連絡までに要する時間や費用等につ いて確認しておく必要がある。 ③事件事故発生時の報告先の確認 事件事故が発生した場合には、上記のように本人に連絡するだけではなく 、所管する省庁や地方自治体、所属団体、最寄の警察等にも連絡する必要が ある。こうした場合に連絡漏れなどがないよう、予めリストを作成し、必要 に応じて選択して連絡できるようにする。 ＮＩＣ 【解説】 「もし、あなたの会社で重要な個人情報の漏えい事故が発生したら、どのように対処 するのか？」と尋ねられたらどう応えますか？。 これまで重大な個人情報の漏えい事件で大騒ぎとなった会社の殆どは、「うちには関 係ない」と考え、事故が発生した場合の対応手順等を用意しない状態で事故が発生し、 右往左往した挙句、自己保身など適切とはいえない対応をとり、社会的な信用を落とし ています。 このように事故が発生した場合でも、あわてることなく、落ち着いて必要な対策を行 うためには、次のような内容について、あらかじめ検討し、必要な手順を決めておく必 要があります。 ①事故が発生した場合の対応方法の確認 事故が発生した場合、誰が重要事項を審議して決定するのか。誰が社内的な調査や対 応の陣頭指揮をとるのか、誰が対外的な対応の中心となるのかを決定しておきます。全 て社長がやるというのは難しいので、それぞれの責任者を決めておきます。 特に、重要事項を審議決定する機関は、どういったことを決定しなければならないの かについてもリストアップしておきます。 ②本人への連絡方法の確認 個人情報の漏えい事件が発生した場合には、二次被害を防止するために、速やかに本 人に連絡する必要があります。連絡といってもいろいろな方法がありますが、本人と自 231 社にとってどの方法が良いのか、どういった手順で実施するのか、費用はどのくらいか といったことについて確認しておきます。 ③事件事故発生時の報告先の確認 事件事故が発生した場合、各省庁ガイドラインによっては、自社を所管する機関への 報告が義務付けられている場合があります。それ以外でも事件事故が発生した場合には、 警察や地方自治体や所属する業界団体等に連絡が必要な場合があります。一方で、事故 の内容によっては、連絡が不足な場合もあります。 そこで、個人情報の漏えいなどの事件事故が発生した場合に、連絡すべき先の電話番 号、住所、連絡先の担当者、連絡すべき事件事故の条件等について、一覧表の形式で整 理しておきます。 【利用上の注意点】 個人情報の漏えい事故が発生した場合、事故の経緯や漏えいした個人情報の内容、二 次被害発生の有無について早急な確認が必要です。その上で、本人への通知や関係者へ の連絡、発生防止策等を実施します。これらをいかに短時間で実施するかが勝負です。 ただし、事件事故の内容によっては、過剰や過少になる場合がありますので、正確な 状況の把握と適格な判断のための手順をあらかじめ決定しておくことが重要となるこ とを強調してください。 232 3-4-9．実行状況の記録と継続的な改善 ３−４−９ 実施状況の記録と継続的な改善 ①実施状況の記録 構築した対策の実施を証明するために必要な記録を作成する。 監督官庁からの報告要求や裁判の際に証拠として「記録」を示 す必要がある。 ②対策の定期的な見直しと改善 対策は一度整備したら終わりではなく、新たな問題点を解決すると ともに、リスクへの対応レベルを向上させるために、定期的な見直し が必要です。 対策の実施状況、問題点等を定期 的に確認 セキュリティ技術の革新 同業他社での取り組み状況 情報漏洩の事件・事故 裁判判例 自社で発生した事件・事故等 「方針」と 「対策」を 見直す ＮＩＣ 【解説】 ここでは、 個人情報保護のための対策の実施にあたって考慮すべき事項について説明 します。 ①実施状況の記録 実施していることを何らかの方法で記録する必要があります。「何でもすべて記録す る」というのは大変ですので、対策の実施状況を後で確認するために必要な最低限の記 録をとっておきます。 具体的には、ルールの変更や新設に関する検討の記録、重要な個人情報の利用履歴、 開示訂正利用停止や苦情の受付∼対応の実施記録などです。これらは、ルールが遵守さ れていることを社内で確認する際に利用できます、さらには、もし監督官庁からの報告 の要請があった場合や、裁判等になった場合の証拠としても利用することができます。 ②対応先の定期的な見直しと改善 個人情報保護の対策は、一度整備したら終わりというものではありません。ルール整 備当初は、重要な個人情報に限定して対応していますので、徐々に対象とする個人情報 を拡大することが必要な場合もありますし、暫定的な対策をもっと高いレベルの本格的 な対策に変更する場合もあります。 さらに、実施を通して様々な問題が発生しますので、見直しが必要となります。 また、セキュリティ技術は日進月歩であり、当初は価格が高くて手が出なかったもの が、手ごろな価格で導入可能になったり、同業他社の対応レベルが高くなったりするこ 233 ともあります。こうしたことからも、見直しや改善が必要なのです。 見直しにあたっては、 「方針」と「対策」の両方のレベルでの見直しが必要です。 「方 針」とは、 「３−２ 対応方針の決定」で説明した全社的な取り組み姿勢であり、 「対策」 は、具体的な対策のことです。 【利用上の注意点】 ここで説明するのは「継続的改善」ということです。ISO9001 や ISO14001 に取り組 んでいる企業の場合には理解が早いので、継続的改善の必要性を説明すれば、理解して もらえると思います。 ただし、ISO 等に取り組んでいない企業の場合には、 「もし事件や事故が発生したら、 それまでやっていた対策は十分とはいえないということになるので、 対策の見直しが必 要となります」といった個別の状況を例にして、改善の必要性について説明すると効果 的です。 234 3-5．受託時の注意点 ３−５ 受託時の注意点 委託業務に伴い、個人情報の一時的な提供を受ける場合には、委託元 委託業務に伴い、個人情報の一時的な提供を受ける場合には、委託元 が要求する安全管理の方法や水準について、出来るだけ具体的に確認し が要求する安全管理の方法や水準について、出来るだけ具体的に確認し ておくこと。特に契約内容については注意が必要である。 ておくこと。特に契約内容については注意が必要である。 ①契約内容の確認 委託元から提供される個人情報の管理について、契約上の条件の有 無や内容について、自社にとって一方的に不利な内容となっていない かを確認する。理不尽な内容の場合には、契約を見直す。 ②安全管理上の要求の理解 依託元が要求する安全管理の内容や水準について出来るだけ具体的 に確認しておく。単に「漏えいするな」だけでは、具体的な対策を実 施できない。もし、こうした確認に委託元が応じない場合には、依頼 したが応じてもらえなかった旨を記録し、契約書とともに保管してお く。 ③自社での対応状況の確認 上記で確認した委託元の要求する安全管理の内容や水準を、現在の社内の 安全管理の状況でクリアすることが出来るのか。あるいは、新たな対応が必 要な場合に、対応が可能なのかを確認する。 困難な場合には、委託元と安全管理について要件の見直しを行う。 ＮＩＣ 【解説】 自社が委託業務を受託する立場の場合の対応について説明します。 委託業務の受託に伴い、比較的大量又は重要な個人情報を委託元から提供される、 あるいは一時的に貸与を受ける場合には、委託元から機密保持契約や安全管理上の指 示を受けるケースが増えています。その場合には、以下の事項について注意しましょ う。 ①契約内容の確認 機密保持契約あるいは、機密保持の特約等の締結を求められた場合には、契約内容 をよく確認しておきます。特に損害賠償の部分については、経済産業省より「優越的 な地位の乱用をしてはならない」という注意喚起が行われるくらい、非常に理不尽な 内容が増えています。特に、一方的に無制限の損害賠償を求められるような記載があ る場合には、出来る限り受注しないほうがよいでしょう。 ②安全管理上の要求の理解 機密保持契約書等に明記されている場合もありますが、委託元が要求する安全管理 についての要求内容や水準を確認しておきます。委託元が適切な管理を行っていると ころであれば、より具体的な指示があります。例えば、 「提供時の媒体からコピーして はならない」「パソコンやサーバのハードディスクに保存してはならない」「あらかじ め利用者を限定し、その者以外に利用させてはならない」などです。あるいは、具体 的な安全管理の方法について、契約とは別に、委託元と委託先の双方で協議して決め 235 るというところもあります。 こうした具体的な方法について問合せても適切な指示がなかったり、ただ「漏えい するな」等の抽象的な指示しかない場合には、委託元の個人情報保護に適切に取り組 んでいない場合が多いので、あとでいろいろと問題になることも少なくないようです。 こうした場合には、のちのちのトラブル発生に備えて、委託元に対して上記のような 問合せを実施したことと、その際の委託元の対応について記録し、契約書等とともに 綴っておくとよいでしょう。 ③自社での対応状況の確認 上記の結果、委託元より安全管理についての具体的な指示があった場合には、現在 の自社内の安全管理の取り組みで充足することが出来ているのかを確認します。現在 の対応で不十分なところがあれば、追加で対応が可能なのかどうかを検討します。検 討の結果、対応できないというのであれば、委託元との間で、代替案を含めた交渉を 行う必要があります。 委託元の要求する安全管理上の要求を充足できないのに、 「出来ます」といってしま うのは、非常に危険です。 【利用上の注意】 個人情報保護対策が万全に行われているところは、それほど多くありません。急ご しらえの対策でそのままとなっているところのほうが多いと思われます。こうした中 で、上記のように委託業務を受託する際に、委託元からの契約内容については、機密 保持契約により責任や義務が明記されているにも関わらず、具体的な対策の指示がな いという状況が多数存在します。 受託する側としては、 「安全に管理しろ」という理念的な要求では、どのように対応 してよいか分かりません。しかし責任は一方的に負わされています。そこで、責任を 少しでも軽減するためには、具体的な安全管理の方法について確認しておくことが重 要となります。 236 第５節 個人情報保護対策の構築における調査手法の解説 1．個人情報保護対策で利用する調査手法の概要 １．個人情報保護対策で利用する主な調査手法 （１）個人情報の棚卸と重要度の評価 社内にどのような個人情報がどの程度あるのかを把握し、さらに これらの重要度を評価する。 （２）個人情報取扱いプロセスの整理とリスクの把握 特に重要な個人情報について、収集、利用、保管、廃棄の流れを 整理するとともに、どのプロセスにおいて、漏洩や改ざん等の事件 事故が発生するリスクがあるのかを把握する。 （３）個人情報管理シートの作成 特に重要な個人情報についての取扱い手順（収集、利用等の手 順）、個人情報保護法で要求されている事項への対応、安全管理策 （外部持ち出しの制限、保管方法、廃棄方法）等の具体的なルール を設定する。 ＮＩＣ 【解説】 個人情報保護対策を構築するにあたっては、 いくつかの調査を実施する必要がありま す。本節では、これらのうち主要な以下の３つの調査手法について、具体的に解説しま す。 ①個人情報の棚卸と重要度の評価（個人情報棚卸調査） 個人情報保護対策を実施するにあたっては、まず、自社内における個人情報の所有実 態を把握する必要があります。具体的に、どこ（部門や場所）に、どのような個人情報 （内容や対象）が、なぜ（目的）、どの程度（数量）、どのような状態（媒体）で保管さ れているのかを確認するする必要があります。さらに、特に「重要な個人情報」はどれ かを明確にします。 なお、現在では不要なものもあるかもしれませんので、調査の際に改めて要不要を確 認し、不要なものは廃棄します。 ②個人情報取扱プロセスの調査とリスクの把握 上記で特定した「重要な個人情報」について、必要な安全管理策を検討するにあたっ ての基礎情報として、収集、利用、移送、保管、廃棄の流れと、それぞれのプロセスに おいて発生する主なリスクを示しておきます。 237 ③個人情報管理シートの作成 「重要な個人情報」について、法令遵守のために実施すべき事項や安全管理上必要な ルールを定めるために、個人情報管理シートを作成します。このシートは、、当該個人 情報に関係する従業員や委託先についての説明や教育の際にも利用します。 【利用上の注意点】 「①個人情報の棚卸と重要度の評価」「②個人情報取扱プロセスの調査とリスクの把 握」で採用する調査手法は、標準的なものであり、JISQ1500:2006 に準拠した個人情報 保護マネジメントシステムの構築の際にも同様の手法が利用されます。 また、 「③個人情報管理シートの作成」は、 「重要な個人情報」について必要なルール の整備と関係者への周知を容易に行うために作成するものです。 なお、実際には、これら３つの調査を全て実施することが望ましいですが、重要な個 人情報が明確になっているような場合は、「①個人情報の棚卸しと重要性の評価」を省 略し、「③個人情報管理シートの作成」のみを実施するケースもあります。 238 2．個人情報保護法対策で利用する主な調査手法 2-1．個人情報の棚卸と重要度の評価 ２．個人情報保護対策で利用する主な調査手法 ２−１ 個人情報の棚卸と重要度の評価 組織内にある個人情報を把握し、不要な個人情報の数を減らす。 さらに、重要度を評価することにより、対応すべき情報の優先順 位付けを行う。 ①個人情報の棚卸 組織内にある個人情報の所在を把握する。そして、これらの個人情報について、 必要性及び適法性を確認し、不要なもの、違法なものを廃棄する。 ②基礎情報の収集 ①の棚卸の結果、利用を継続する個人情報について、利用実態（内容、目 的、収集方法、保管、利用、廃棄等）を把握する。 ③個人情報の重要度の評価 基礎情報をもとに、「機密性（漏えいした場合の損害の程度）」「完全性（内容 が誤っていた場合の損害の程度）」の観点からランク付けを行う。 ＮＩＣ 【解説】 個人情報の棚卸と重要性の評価は、次のように行います。詳細な作業手順は、 「調査 方法１：個人情報棚卸調査」に従ってください。 ①個人情報の棚卸 自社内にある個人情報をリストアップします。具体的には、社内の棚やキャビネット、 机や金庫にある帳票や名簿等の書類を全て記載していきます。次に、パソコンやサーバ 内についても、ファイル名を記載していきます。あまり深く考えずとにかくリストアッ プしていくほうが効率的です。 次に、一通りリストアップしたら、利用目的や内容、保管場所、管理している部門等 をイメージしながらグルーピングしていきます。あまり整理しすぎでも、逆に細かいま までもあとの作業が大変です。以下の「基礎情報の収集」で整理すべき項目をイメージ しながらまとめるのがコツです。 なお、媒体の違い（例えば、紙媒体と電子データ）により管理方法が異なりますので、 どんな媒体で保管されいるかについては、特に注意して確認してください。 ②基礎情報の確認 上記の作業である程度整理されたら、「調査資料１：個人情報棚卸調査」の「1.個人 情報の抽出」の５項目を調査し、「個人情報棚卸調査表」に記載します。 一通り記載が終わったら、「2.継続利用の確認」にもとづき、「違法性」と「必要性」 239 について確認します。「違法性」とは、本人をだまして収集したものである、あるいは 出所が非常に怪しいというものや、例えば、消費者金融の多重債務者リストのように本 来、当社に存在してはならないものが該当します。上記の結果をもとに、今後も保有を 継続するか廃棄するかをを決定します。 上記の作業により、 「継続して保有する」と決定した個人情報について、 「3.利用状況 の記入」の５項目について追加調査し、記載していきます。追加調査にあたり、決まっ ていない事項があれば決定してください。 ③重要性の評価 「③基礎情報の収集」が終了したら、重要性を評価します。「4.重要性評価」の「機 密性」 「正確性」の評価表を参考に数値化します。なお、 「調査方法１：個人情報棚卸調 査」の評価表はあくまで参考であり、各企業の状況に応じて任意に設定してください。 評価表の区分は３∼４程度が望ましいです。２つ程度の区分だと重要性の差が確認でき ませんし、５つ以上だと判断が難しくなります。 「重要性を評価してください」というと、ほとんどの場合には、最も高い評価に偏る 傾向がありますが、対象を絞りこむことが目的ですので、ある程度分散されるように評 価する必要があります。 評価結果をもとに、機密性及び正確性についての重要とする基準を設定します。例え ば、機密性及び正確性のいずれかについて評価点が３以上のものを重要とします。 なお、作業の効率化をはかるために「②基礎情報の確認」の前に、重要性を評価し、 重要であると判定したものに限り、 「②基礎情報の確認」を行うという変則的な方法も あります。 【利用上の注意点】 個人情報棚卸調査は、概要を把握することと、重要な個人情報を特定することが目的 であり、精緻で正確な調査を実施することが目的ではありません。このため、重要な個 人情報とならない個人情報については、調査項目に空欄があったり、漏れが発生しても 問題ありません。 また、重要性の評価は、評価者の経験則にもとづく主観的なものであり、客観性を担 保することは、過去の統計データ等が無い限りは困難です。一般的には、ベテランの管 理者が複数人で議論しながら設定することにより、実態に即した重要性を評価します。 ただし、社内だけでは、基本的な考え方において見落とし（プライバシーに関するも のだけが個人情報であると考えている）や評価の間違い（自社の損害のみに注目し、本 人の権利利益の損害を考慮しない）が発生する恐れがありますので、評価結果について は、第三者による確認が望ましいことがあります。 240 調査方法１：個人情報棚卸調査 組織内にある個人情報の概要を把握し、もし不要な個人情報がある場合には廃棄す ることにより個人情報の数を減らす。 さらに、重要度の優先順位付けを実施することにより、対策の対象とすべき「重要 な個人情報」を把握する。 １.個人情報の抽出 項目 個人情報（文書等） の名称 内容 個人情報の名称（文書や書式の名称等）または、分類名称（同一目 的、同一プロセスの個人情報をまとめたもの）を記入する。 内容（項目） 当該個人情報に記入されている個人情報の項目（例：氏名、年齢、 病歴、セミナー利用履歴、社長名、社長自宅住所、電話番号等）を記 入する。 個人情報の利用目 当該個人情報の利用目的を記入する。 的 所有部門 当該個人情報について責任をもつ部門（変更する権利のある部門）。 種類 当該個人情報が、個人情報、個人データ、保有個人データのいずれ に該当するか否かです。 ２.継続利用の確認 項目 違法性 内容 違法あるいは不正な方法で取得されたものではないか否かを確認 し、違法あるいは不正でなければ「○」、違法あるいは不正またはそ の可能性がある場合は「×」を記入する。 必要性 当該部門で保有する必要があるのか（例：他の部門にあれば、当課 は不要）。 必要であれば「必要」。不要であれば「不要」とする。 保有・廃棄 継続して保有し、利用する場合は「保有」。廃棄して保有しない場 合は「廃棄」を記入する。 ３.利用状況の記入 （１）収集に関する事項 項目 収集方法 内容 当該個人情報の収集方法について記入してください。 例：入会の際に会員本人が所定の用紙に記入し、郵送にて提出する。 収集部門 当該個人情報を収集する部門を記入する。 241 （２）利用・保管に関する事項 項目 内容 利用部門 当該個人情報を利用する部門を記入する。 媒体 当該情報の保管されている媒体を記入する。 （例：文書、電子データ） 保管場所 当該個人情報の保管場所を記入する。 （例：個人キャビネット、部門共有キャビネット、クライアントＰＣ ハードディスク、ファイルサーバ、金庫 委託の有無 等） 委託による当該情報の外部提供の有無を確認する。有る場合は「有」 とし、ない場合には「無」を記入する。 第三者提供の有無 当該個人情報の第三者提供の有無を確認する。有る場合には「有」 とし、ない場合には「無」を記入する。 （３）廃棄に関する事項 項目 内容 保存（利用）期限 保存あるいは利用の期限を記入する。 （例：永久、退会後３年間、データ入力後直ちに廃棄する） 廃棄方法 廃棄方法について記入する。 （例：シュレッダーで裁断、溶解、消去、そのまま廃棄、等） ４.重要性評価 （１）『機密性』：不正アクセスや漏えいによる被害の程度 評価点 ０ 外部の不特定多数に知られても問題はない。 １ 外部に漏えいすると当社又は当該個人に軽微な損失が発生する。 ２ 外部に漏えいすると当社又は当該個人に重大な損失が発生する。 ３ 外部に漏えいすると当社の事業継続が困難になる。 （２）『正確性』：誤記入、改ざんにより正確性が損なわれた場合に発生する被害の程度 評価点 ０ 情報が間違っていたり、一部が欠けていても全く問題はない。 １ 情報が間違っていたり、一部が欠けていると、作業レベルで支障が発生す る。 ２ 情報が間違っていたり、一部が欠けていると、部門レベルで支障、損害が 発生する。 ３ 情報が間違っていたり、一部が欠けていると、全社レベルで支障、損害が 発生する。 242 資料：個人情報棚卸調査表 243 2-2．個人情報取扱プロセスの整理とリスクの把握 ２−２ 個人情報取扱プロセスの整理とリスクの把握 重要な個人情報について、個人情報の収集、利用、保管、廃棄 の流れ（プロセス）を把握する。 さらに、個人情報を取扱うプロセスの中で、漏えい、改ざん、紛 失、誤記等の発生する可能性のあるリスクを把握する。 ①個人情報取扱いプロセスの特定 重要な個人情報について、収集、利用、保管、廃棄の流れ（プロセス）を整理す る。 ②「機密性」「正確性」に対するリスクの把握 上記の各プロセスにおいて発生する可能性のある「機密性」と「完全性」を阻害 するリスクを特定する。 ＜機密性を阻害するリスク例＞ ○文書の盗難、紛失 ○ＦＡＸ、電子メール、郵送における誤送信 ○不正ソフトによる不正アクセス ＜正確性を阻害するリスク例＞ ○申し込み用紙からの誤転記・誤入力 ○不正ソフトによる書換えや破損 ＮＩＣ 【解説】 「個人情報棚卸調査」で特定した「重要な個人情報」について、安全管理策を検討 するにあたっての基礎情報として、 「調査方法２：個人情報取扱プロセス調査」を実施 します。 ①個人情報取扱プロセスの特定 対象とする重要な個人情報の収集から廃棄までのプロセスを特定します。具体的に は、まず「収集」 「入力」 「利用」 「保管」 「移送」 「廃棄」等の主要なプロセスを確認し、 「個人情報取扱プロセス調査表」の「プロセス」に記載します。次にそれぞれのプロ セスにおいて実施している作業内容を「実施事項」に、実施事項を行っている部門を 「実施部門」に記載します。次に、当該作業において利用している個人情報を特定し 記載します。作業において利用している個人情報とは、帳票やファイルの名称などで す。また、作成時に参照する個人情報も、作業の結果作成する個人情報のいずれも記 載してください。 ②予想されるリスクの特定 上記の作業により、重要な個人情報の個人情報取扱プロセスが整理されたら、各プ ロセスにおいて、 『機密性』と『正確性』が阻害されるリスクを特定し「予想されるリ スク」に記載します。 『機密性』とは、許可された人以外に見られてはいけない度合いです。漏えいして はいけない度合いといえばより分かりやすいでしょうか。 『正確性』とは、内容が不正 244 確であると支障が発生する程度です。 具体的には、他社や自社で発生したことのある事件事故、ミス等を参考に記載して いきます。この作業にあたっては、現実的に発生しえないリスクは記載しません。で きるだけ発生する可能性の高いものに注目してください。 【利用上の注意点】 本作業にあたっては、 「プロセスの設定」と「予想されるリスクの特定」が難しい作 業になります。ここでも精緻に作業しようとすればするほど、難しくなる傾向があり ます。参考例をもとに、概要を把握するつもりで実施するのがコツです。 245 調査方法２：個人情報取扱プロセス調査 「重要な個人情報」について、個人情報の収集、入力、利用、保管、廃棄の流れ（プ ロセス）を把握する。 「重要な個人情報」を取扱うプロセスの中で、機密性の阻害（不正アクセス、漏え い、改ざん）、正確性の阻害（誤記、紛失等）の発生する可能性のあるリスクを把握 １．個人情報取扱プロセスの特定 （１）取扱プロセスの記入 重要な個人情報について、収集、入力、利用、保管、廃棄の流れを記入する。さらに、 各プロセスにおいて、実施する内容を具体的に記入する。 （２）実施部門の特定 該当するプロセスの作業を実施する部門を記入する。 （３）該当する個人情報の特定 該当するプロセスの作業で使用する個人情報の帳票類の名称を記入する。 ２．予想されるリスクの特定 （１）機密性の維持を阻害するリスクの特定 機密性を阻害するリスク、具体的には不正アクセスや漏えいを発生させる以下のような リスクを特定する。 ＜機密性を阻害するリスクの例＞ ○利用中に盗み見られる ○盗難 ○不正ソフトによる盗難 ○ＦＡＸの誤送信、電子メールの誤送信、誤郵送 （２）正確の維持を阻害するリスクの特定 正確性を阻害するリスク、具体的には誤記入や紛失等を発生させる以下のようなリスク についを特定する。 ＜完全性を阻害するリスクの例＞ ○誤入力、誤転記 ○不正ソフトによる破壊、改ざん ○書類の紛失や消失 ○媒体（ハードディスク、ＦＤ）の破損 246 個人情報取扱プロセス調査票 作成者 作成日 対象部門（業務） 番号 プロセス 実施事項 実施部門 247 該当する個人情報 予測されるリスク 個人情報取扱プロセス調査票（記載例） 作成者：中小太郎 作成日：平成１７年７月１３日 対象部門（業務）会員管理 番号 2-3 3-1-1 プロセス 利用 変更 実施事項 実施部門 センターの各部門の業務に伴い、会員との連絡を行うた 全部門 3-1-3 4-1-2 会員企業より、会員業務部に対して、変更の依頼があり、 会員業務 会員管理データ 聞取りミス 4-2-2 部 変更依頼内容にもとづき、会員業務部の職員が、会員管 会員業務 会員管理データ 誤入力、入力作業中の紛失、盗難、 理データの内容を変更する。 不正アクセス 部 変更依頼を修正した結果を出力し、当該会員に郵送し変 会員業務 会 員 管 理 デ ー タ の 個 誤送付による紛失、盗難 廃棄 部 別企業のデータ 会員業務部は、退会した会員の申込書を別ファイルに移 会員業務 入会申込書 誤って別の会員の申込書を退会 す。 者ファイルにつづり込む。 部 会員業務部は、退会後３年を経過した企業の入会申込書 会員業務 入会申込書 を廃棄する。 4-2-1 保管場所からの盗難、職員による 目的外の利用 更があっているか否かを確認する。 4-1-1 会員名簿 予測されるリスク めに利用する。 会員業務部の職員が変更依頼の内容を把握する。 3-1-2 該当する個人情報 ごみ箱やごみ集積所からの盗難 部 会員業務部は、会員管理データに退会したことを入力す 会員業務 会員管理データ 誤入力、入力作業中の紛失、盗難、 る。 不正アクセス 部 会員業務部は、会員管理データから、退会後３年を経過 会員業務 会員管理データ 保管場所からの盗み見、盗難 した会員のデータを削除する。 保管中の紛失 部 248 2-3．個人情報管理シートの作成 ２−３ 個人情報管理シートの作成① 個人情報の棚卸調査及び取扱プロセスの調査結果をもとに、法 律や省庁ガイドラインを遵守するために必要な各個人情報に関す る取扱いのルールを決定する。 ①基本情報の整理（法１５条） 名称、内容、対象者、利用目的、数量、分類、重要度、利用部門（責任部門、収 集部門、利用部門、保管部門）、利用の概要といった個人情報に関する基本情報 を整理する。 ②委託、共同利用、第三者提供（法２２、２３条） 対象とする個人情報に関する委託、共同利用、第三者提供の有無及び提供先、 提供方法、責任者を特定する。 ③公表、明示、通知（法１８条、２３条） 利用目的の通知（公表、明示、通知）、共同利用の公表、第三者提供における同 意の実施に関する責任者を特定するとともに、これらの実施の有無及び実施方法、 実施しない場合とする理由を特定する。 ＮＩＣ ２−３ 個人情報管理シートの作成② ④安全管理のための利用制限（法２０条） 個人情報の利用における安全管理のために、利用に関する責任者、利用制限、 複写・複製、保管、外部持ち出しに関する内容について決定する。 ⑤委託先の監督（法２２条） 委託に伴う提供を実施する場合の監督方法について決定する。 ⑥更新（法１９条） 個人情報の正確性の維持のため、更新に関する責任者及び更新の必要性、更 新の方法について決定する。 ⑦開示、訂正、利用停止への対応（法２５、２６、２７条） 個人情報の開示、訂正、利用停止に関する請求があった場合の責任者及び、開 示、訂正、利用停止に対する制限事項について決定する。 ＮＩＣ 249 【解説】 「重要な個人情報」について、法令遵守のために実施すべき事項や安全管理上必要なルー ルを定めるために、「個人情報管理シート」を作成します。 Ａ．基本情報の整理 基本情報として、「個人情報棚卸調査」「個人情報取扱プロセス調査表」の結果をもとに、 以下の内容を転記します。 ①基本情報 当該個人情報の名称、内容、対象等について、 「個人情報棚卸調査」より転記します。もし、 「個人情報棚卸調査」を実施していない場合には、各項目について調査を行います。 ②利用部門 「個人情報棚卸調査」 「個人情報取扱プロセス調査表」の結果をもとに、収集、利用、保管 に関する責任部門を特定します。もし責任部門が明確でなければ、決定します。 ③利用の概要 「個人情報取扱プロセス調査表」の結果をもとに、収集∼廃棄までの概要を整理します。も し「個人情報取扱プロセス調査表」を策定していない場合には、同調査表の作成手順になら って記載します。 ④外部委託、共同利用、第三者提供の有無及び提供先 当該個人情報の外部委託、共同利用、第三者提供について、実施の有無を確認するととも に、実施している場合には提供先、提供方法、提供に関する当社の責任者を記載します。な お、外部委託、共同利用、第三者提供の意味は以下のとおりです。 ・外部委託：委託した業務の履行に伴い、委託先に個人情報を提供する場合。 ・共同利用：グループ企業等が共同で事業やサービス提供を行うために、個人情報を共同で 利用する場合。 ・第三者提供：上記のいずれにも該当しない第三者に対して提供する場合。 Ｂ．遵守方法の特定 「個人情報の保護に関する法律」等を遵守するために、以下の事項について実施の有無及 び具体的な実施事項を決定し記載します。 ①利用目的の通知等に関する事項 個人情報の収集に当たっての公表、明示、通知等（第 18 条関係）及び共同利用、第三者提 供等における通知及び同意（第 23 条関係）について、実施の有無及び具体的な実施方法を決 定し、記載します。 ②安全管理に関する事項 安全管理のための注意事項について、利用制限（第 16 条、20 条対応） 、複写・複製、保管、 外部持出（第 20 条対応）、委託先の監督（第 22 条対応）について具体的なルールを決定し、 250 記載します。 ③更新に関する事項 当該個人情報の正確性を確保するための更新の必要性の有無を確認し、更新が必要な場合 には、具体的な更新方法を決定し記載します。なお更新方法としては、以下のようなものが 一般的です。 ・変更窓口を本人に周知し、本人からの届出に応じて変更を行う（待ち受け方式）。 ・定期的に本人に対して変更の有無の連絡を求める（定期通知方式）。 ・定期的に調査会社等を利用して調査を実施する（調査方式）。 ④開示、訂正、利用停止への対応方法の決定 開示（第 25 条、28 条、29 条）、訂正（第 26 条、28 条、29 条）、利用停止（第 27 条、28 条、29 条）への対応における制限事項について決定し、記載します。 ・保有個人データの内容開示 保有個人データについて開示申請があった場合に応じるのか否かを決定しておきます。応 じる場合には、応じる際の手順を決めておきます。もし、応じないとする場合には、 「個人情 報の保護に関する法律」応じない場合の理由などを決定しておきます。 ・保有個人データの訂正 内容が事実と異なるという理由で、保有個人データの内容の訂正を求められた場合は、こ れに応じなければなりません。しかし、それ以外の理由で訂正の要請があった場合には応じ なくてもよいのです。また、たとえ内容が事実と異なるという理由であっても、利用目的に 支障がなければ、対応は不要です。そして、もし訂正の要請があっても上記のような理由で 断る場合には、その理由を説明しなければなりません。こうしたことから、訂正の申請があ った場合に応じるのか応じないのかを決定するとともに、応じる場合の手続きについて決定 しておきます。 ・保有個人データの利用停止 保有個人データの利用停止の申請があった場合には、「違法に取得されたものである」「目 的外に利用している」 「同意を得ることなく第三者に提供している」のいずれかに該当する場 合には、これに応じなければなりません。こうしたことから、これらに該当する場合には、 応じる場合の手続きについて決定しておきます。また、これらに該当しない場合には、利用 停止に応じないこともできますので、応じない場合の対応についても検討しておきます。 【利用上の注意点】 このようにして作成した「個人情報管理シート」は、関係する従業員に対する手順教育に おいて利用します。 また、委託先から委託に伴い提供される個人情報について適性な管理を求められた場合に は、このシートを使ってルールを決定することで、必要な対策を効率的に策定することがで きます。 251 調査手法３：個人情報管理シート 「個人情報棚卸調査」と「個人情報取扱プロセス調査」の結果をもとに、法令や 省庁のガイドラインを遵守するために必要な各個人情報に関する取扱ルールを決 定する。 １.基本情報等の確認 （１）基本情報 項目 名称 内容 個人情報の名称（文書や書式の名称等）または、分類名称（同一目的、 同一プロセスの個人情報をまとめたもの）を記入する。 内容 当該個人情報に記入されている個人情報の項目（例：氏名、年齢、病歴、 セミナー利用履歴、社長名、社長自宅住所、電話番号等）を記入する。 対象 個人情報で特定される者の属性（当商工会議所会員企業、当商工会議所 職員、セミナー申込者）を記入する。 利用目的（収集目 対象個人情報の利用目的を記入する。 的） 【第 15 条】 数量 対象となる個人情報の数量について、ストックベース（約５０００件、約 ３０００枚×３名）、あるいはフローベース（２００人／月）により、組 織内に存在する対象個人情報の量を把握する。 分類 個人情報、個人データ、保有個人データのいずれに該当するのかを記入す る。 重要度（機密性） 漏えいした場合の損害の規模により評価する。 ※演習２参照 重要度（正確性） 内容が異なっていた場合の損害の規模による評価する。 ※演習２参照 252 （２）利用部門 項目 責任部門 内容 当該個人情報に関する全体的な責任を負う部門及びその部門の責任者を 決定する。 収集部門 当該個人情報を収集する部門を特定する。 ※これ以外の部門は当該個人情報の収集は禁止される。 利用部門 当該個人情報を利用する部門を特定する。 【第 16 条】 ※これ以外の部門は当該個人情報の利用は禁止される。 保管部門 個人情報を保管する部門を特定する。 ※利用場所と保管場所が異なる場合には、保管のみに関わる部門もある ことに注意すること。 （３）利用の概要 項目 収集 内容 当該個人情報を利用する部門を特定する。 ※これ以外の部門は当該個人情報の利用は禁止される。 入力 ○当該個人情報を電子データとして入力あるいは、別の帳票に転記する ことがある場合に、その作業方法及び実施部門を記入する。 利用 ○当該個人情報の利用方法について記述する。 ○当該個人情報の外部への持出の有無及びその方法について記述する。 保管 媒体ごとの保管場所を記入する。 廃棄 利用期限及び廃棄方法について決定する。 （４）外部委託、共同利用、第三者提供の有無と提供先 項目 委託 内容 ○委託、共同利用、第三者提供の実施の有無を記入する。 ○当該行為がある場合、相手先を記入する。 共同利用 ○相手先への提供方法を記入する。 ○提供に関する当社側の責任者を記入する。 第三者提供 253 ２．遵守事項の特定 （１）公表・明示・通知に関する遵守事項 項目 責任者 内容 公表・明示・通知、共同利用の公表、第三者提供の同意の実施に関する 責任者を決定し、記入する。 公表 利用目的の公表、明示、通知に関する必要性の有無、必要な場合の具体 【第 18 条１】 的な方法、不要な場合の理由を記入する。 明示 【第 18 条２】 通知 【第 18 条１】 共同利用の公表 共同利用に関する公表の必要性の有無、必要な場合の具体的な公表方法、 【第 23 条４】 不要な場合の理由を記入する。 第三者提供の同意 第三者提供に関する本人同意の必要性の有無、必要な場合の具体的な公 【第 23 条１】 表方法、不要な場合の理由を記入する。 その他 その他、公表や同意が必要な事項（例：オプトアウト等）を特定し、記 【第 23 条２】 入する。 ※雇用管理に関する個人情報の場合、非開示とする項目について、事前 に特定し、従業員に通知する必要がある。 （２）利用に関する制限 項目 内容 責任者 利用に関する責任部門及び責任者を特定し、記入する。 利用制限 以下に示す事項以外の利用制限があれば記入する。 【第 16,20 条】 複写・複製 複写・複製の実施に関する制限や複写・複製したものの管理や取扱いに 【第 20 条】 関する利用制限を記入する。 保管 保管方法における制限事項を記入する。 【第 20 条】 外部持出 外部持出の際における安全管理のための制限事項を記入する。 【第 20 条】 委託先の監督 委託先の監督として実施する事項を記入する。 【第 22 条】 254 （３）更新 項目 内容 責任者 更新に関する責任部門及び責任者を記入する。 更新 更新の必要性の有無、更新が必要な場合の更新方法について記入する。 【第 19 条】 （４）開示・訂正・利用停止への対応 項目 責任者 内容 本人からの開示、訂正、利用停止要求に対する対応における責任者を特 定し、記入する。 開示 開示、訂正、利用停止の請求への対応における制限事項（例：開示しな 【第 25,28,29 条】 い項目がある場合の内容とその理由、あるいは通常の請求への対応とは 訂正 異なる方法をとる場合等）の具体的な内容を決定し、記入する。 【第 26,28,29 条】 利用停止 【第 27,28,29 条】 255 ３．利用の概要 個人情報管理シート 主要プロセス 収集 収集方法 入力 入力方法 Ⅰ．基本情報 １．基本情報 項目 内容 名称 （実施部門） 内容 対象 利用 利用方法 利用目的 外部持出 保管 保管場所・保 管方法 数量 分類 □個人情報 重要性 （機密性） □個人データ □保有個人データ （正確性） ２.利用部門 項目 廃棄 内容 廃棄時期 責任部門 責任者 廃棄方法 収集部門 利用部門 ４．外部提供の有無と提供先 有無 委託 共同利用 保管部門 第三者提供 256 提供先 提供方法 責任者 Ⅱ．遵守事項 ２．利用に関する制限（２） １．公表・明示・通知に関する遵守事項 責任部門 責任者 実施 項目 内容 外部持出 □ＦＡＸ送信（□禁止 □無制限 □条件付（条件： ） ） □電子メール送信（□禁止 □無制限 □条件付（条件： 実施方法 公 表 □有 □外部持出 （□禁止 □無制限 □条件付（条件： ） ） □郵送、宅配（□禁止 □無制限 □条件付（条件： ） ） □無 委 託 先 の □審査（□アンケート、□現地確認 □その他） □無審査 監督 明 示 □機密保持契約 □覚書 □なし □定期確認（ □有 ） □無 ３．更新 通 知 項目 □有 責任部門 □無 責任者 内容 必要性 共同利用 の公表 供の同意 有□ □無 無□ １０．開示・訂正・利用停止への対応（制限事項等） □有 項目 □無 責任者 開 示 ２．利用に関する制限制限（１） 責任部門 責任者 利用制限 訂 正 複写・複製 利用停止 保 管 方法 更新方法 □有 第三者提 □常時施錠 □退社時施錠 □施錠なし 257 ） ） 内容 参考資料：個人情報の利用における注意事項（教育用教材） 本資料は、従業員に対する一般教育資料を作成する際の参考資料です。一 般的な企業を想定したものですが、個別の企業により、個人情報の保管や情 報システムの構成などが異なっている場合がありますので、実際に活用する 場合には、内容を確認し、実態に即したものにして活用してください。 なお、本例は、あくまで参考事例であり、この内容に従うことにより、適 切な個人情報の管理を保証するものではありません。 個人情報を安全に利用するために 個人情報の利用における注意事項 財団法人全国中小企業情報化促進センター - 258 - １．はじめに ４月１日に個人情報が施行されました。これに伴い、個人情報の適正管 理が各事業者に義務づけられました。 当社に置きましても、○○○○業務、○○○○業務、○○○○業務等に おいて、重要な個人情報、あるいは大量の個人情報を含んだ名簿や電子デ ータを利用しております。また、これらの中には、紛失した場合に再発行 が困難であったり、外部に漏洩し犯罪等に利用されたり、あるいは外部に 漏洩しただけでも、当社及びお客さまに多大な被害を及ぼす情報も多く含 まれております。 本冊子は、役員及び従業員の皆様が、業務において個人情報を取り扱う 際に発生する可能性のある、不正アクセス（盗み見）、漏洩、改ざん、紛 失等の発生を防止することを目的としています。 そこで、役員及び従業員の皆様には、この内容をよく理解ご理解いただ き、これを遵守してください。もし、業務遂行上、遵守できない場合や内 容に疑問がある場合には、部門の個人情報管理者に相談し、個人情報管理 責任者に許可を得てから実施してください。 また、現在、個人情報保護対策を進めておりますので、内容は逐次追加、 改定となることがあります。 ２．適用対象 これは、当社の保有する個人情報を利用する全従業者（社長及び役員、 正社員、派遣社員、パート、アルバイト、当社内に常駐して業務を行う委 託先の従業者）を対象とします。 - 259 - ３．必ず守っていただきたいこと （１）関係法令及び契約を遵守してください 個人情報の利用については、個人情報保護法はもちろん、各種法令にて 規制されています。関連法規についての情報を今後ご提供していきますの で、これらを遵守してください。 個人情報を取り扱う業務を委託する場合にも、個人情報の取扱に関する 具体的な制約（例えば、提供している情報のアクセス者を制限せよ）等を 求められるようになっています。これらについても、各案件のリーダー等 から指示を受けた場合には、遵守してください。 （２）個人情報の利用に関するルールを遵守してください 個人情報の利用に関する各種手順、ルールを良く理解し、遵守するとと もに、各部門の個人情報管理者の指示を守ってください。少数の人のルー ル違反が、会社あるいは顧客に大きな損害を発生させる恐れがあります。 社内のルールや個人情報管理者の指示に違反した場合には、就業規則等に 従い懲戒解雇等の処罰を受けることがあります。 （３）個人情報の保護のために指定された教育は、必ず受講してください 個人情報の適正な利用及び安全管理のため、会社として必要な従業員教 育を実施することがあります。その場合には、受講を指示された方は、必 ず受講してください。 （４）個人情報の利用に関する監視、監査を実施します 個人情報の利用に関する社内ルールを遵守していることを確認すると ともに、もし事件事故が発生した場合に、原因を特定するため、今後、電 子メールの送受信、ファイルのアクセスや利用状況について監視を実施し ていきます。 また、社内ルールの遵守状況を確認するため、社内点検等を実施するこ とがありますので、ご協力してください。 （５）個人情報の漏洩、情報システム上の問題等があった場合には、個人 情報管理者に報告してください 「お客さまのところへお届けにあがる途中で書類を紛失した」「社内で 保管中に書類を紛失した」といった不正アクセス（例えば、盗み見）、漏 - 260 - 洩や改ざん、紛失等が発生した、あるいは発生した可能性があるといった 場合には、各部門の個人情報管理者に報告してください。 また、 「パソコンがウイルスに感染した」 「ソフトウエアの動作がおかし い」といった情報システム上のトラブルが発生した場合には、システム管 理者あるいは各部門の個人情報管理者に報告してください。 - 261 - ４．個人情報の取得・利用・提供における注意事項 個人情報を収集・利用・社外に提供する場合には、下記の事項に注意し てください。 （１）違法な方法で、個人情報を取得してはいけません 例えば、消費者ローンの多重債務者情報など、通常の業務では、知り得 ないような個人情報を取得してはいけません。 ※「取得」とは、当社において利用可能な状態となる事を指しています。 （２）業務に不要な個人情報を収集してはいけません 顧客より依頼された業務に必要な個人情報のみ収集してください。直接、 業務に必要のない個人情報を収集してはいけません。 （３）業務において取得した個人情報を業務以外で利用してはいけません 例えば、求人活動で入手した情報を、別の営業活動に利用する等、当社 で特定の業務のために取得した個人情報を、当初収集した目的以外に利用 してはいけません。業務上必要な場合には、利用する前に、個人情報管理 者に報告してください。 もちろん、業務上取得した個人情報は、従業員、顧客、その他の者のい ずれについても、当社の業務を実施するために取得したものですので、こ れを当社の業務以外に利用してはいけません。 （４）業務において取得した個人情報を当該業務に関係のない第３者に提 供してはいけません 業務上取得した個人情報は、その情報によって特定される個人のかた、 あるいは委託業務の場合は委託元、提供元や提供先といった関係者以外の 別の企業や個人に対して提供（教える）してはいけません。 たとえ、住民基本台帳に記載されている。電話帳に記載されているとい った公知情報であっても、当社から当該登記業務とは無関係の他社や他人 に提供してはいけません。 - 262 - ５．執務室内における注意事項 執務室内で業務を行うにあたっては、個人情報の不正アクセス、漏洩や 改ざん、紛失等を防止するため、以下のことに注意してください。 （１）執務室内では、必ず名札を付けてください 当社従業員と来訪者等の部外者を区別するため、執務室及び当社スペー スのあるフロアにおいては、必ず名札を着用してください。 （２）当社従業員以外の執務室への入室は、禁止します 当社従業員以外の者の執務室への入室は、禁止します。ただし、業務上 必要な場合には、必ず当社従業員が同伴してください。もし、同伴せずに 入室しているものを発見した場合には、注意してください。たとえ当社の ＯＢや親しい顧客であっても、単独での執務室内の入室は厳禁です。 （３）当社のノートパソコンの社外への持ち出し、個人のノートパソコン の社内への持ち込みを禁止します 当社から従業員の皆さんに支給したノートパソコンを社外に持出した り、個人のノートパソコンを社内に持ち込んではいけません。もし、業務 上必要な場合には、各部門の個人情報管理者の許可を得てください。 （４）記録媒体（ＦＤ、ＵＳＢ、ＣＤ等）の持ち出し、持ち込みを禁止し ます 会社から支給された記録媒体、あるいは業務において顧客から提供を受 けた記録媒体以外の使用（持ち込み）を禁止します。また、これらを業務 遂行以外の目的で持ち出しすることも禁止します。 業務上記録媒体が必要な場合には、必ずシステム管理者に申請してくだ さい。部門や個人で勝手に購入してはいけません。 （５）個人情報の含まれた書類の複写（電子データの複製）は必要最小限 としてください。また、業務以外の目的での書類の複写（電子データの複 製）は禁止します 個人情報の含まれた書類の複写（電子データの複製）は、業務に必要な 場合のみ実施し、できるだけ実施しないでください。もちろん業務以外の 目的（例えば、珍しい内容の謄本であるから私的に集めるとか、全く別の 登記業務の参考になる）といった理由での複写は禁止します。業務以外の - 263 - 目的で複写する場合には、氏名、住所、物件等の個人情報を塗りつぶした り、架空のものに変更する等の処理をしてください。 （６）重要書類は、必ず施錠可能な場所に保管してください。 紛失してはいけない文書、外部漏洩してはいけない文書については、施 錠可能な場所に保管してください。 （７）重要書類を廃棄する場合には、確実に廃棄してください 外部漏洩してはいけない文書を廃棄する場合には、確実に廃棄してくだ さい。また、廃棄にあたり、一時的であっても、放置（例えば、シュレッ ダーの横に積んだままの状態で、１日を経過する。これでは、清掃員や警 備員が用意に持ち出せるような状態になっています。）してはいけません。 （８）記録媒体を廃棄する場合には、システム管理者に提出してください 記録媒体（ＦＤやＵＳＢ、ＭＯ等）は物理的に破壊しないと、単に消去 しただけでは、容易に再生可能です。このため、記録媒体を破棄する場合 には、システム管理者に提出してください。 （９）長時間離籍するときにはクリアデスクを励行してください 退社、会議への参加、外出等長時間席を離れる場合に、机上に書類を放 置しえはいけない。必ず所定のところに収納してください。また、机上及 びその周辺の整理整頓に心がけてください。 （１０）他部門あるいは自分の業務に無関係な情報を閲覧してはいけませ ん 他の部門はもちろん、たとえ自分の部門であっても、自分の担当してい る業務に無関係な情報を盗み見たり、閲覧してはいけません。 例えば、グループで同じ業務を実施している等のように、業務実施上必 要な場合を除いて、ファイルサーバ内の他人が作成したファイルを開いて はいけません。 - 264 - ６．パソコンの利用における注意事項 パソコンを利用する場合には、ウイルス感染によるシステム障害やデー タの破壊、不正ソフトウエアによる外部への情報の流出等を防止するため、 次の事項に注意してください。 （１）０Ｓレベルでのパスワードを設定してください 必ず、パソコンの０Ｓレベル（ウインドウズ）でパスワードを設定して ください。そして、設定したパスワードは、当該パソコンの利用者と、シ ステム管理者以外には教えてはいけません。パスワードをパソコンに張付 けたり、机に張り付けたままにしてはいけません。どうしても、忘れそう な場合には、紙に記入して施錠可能な場所に保管してください。 （２）重要な個人情報が大量に含まれる電子データは、ファイルレベルで パスワードを設定してください 名簿、あるいは外部に漏洩すると当社、顧客等に重大な被害が発生する 恐れのあるような内容を含んだ電子データは、ファイルレベルでパスワー ドを設定してください。そして、設定したパスワードは、当該データを利 用する必要のある人以外には、教えてはいけません。パスワードをパソコ ンに張付けたり、机に張り付けたままにしてはいけません。どうしても、 忘れそうな場合には、紙に記入して施錠可能な場所に保管してください。 （３）システム管理者が許可していないソフトウエアのインストールは禁 止します フリーウエア等出所が明確でないソフトウエアの中には、ウイルスやス パイウエアやトロイの木馬（データの外部への流出やデータの破壊等の行 為を自動的に行うソフトが潜んでいる）等が含まれている場合があります。 特に、インターネット上からのソフトウエアのダウンロードは最も危険な 行為なので、実施してはいけません。 もし、システム管理者より提供されているソフトウエア以外のソフトを 利用する場合には、システム管理者に報告し、許可を得てください。 （４）パソコンの前を離れる際には、スクリーンロックを励行してくださ い パソコンの前を離れた際に、他の悪意を持った従業員が操作したり、社 外の人間が表示されている情報を覗き込んだり、操作したりすることがな - 265 - いよう、パソコンの前を離れる時には、必ずスクリーンロック行ってくだ さい。 （５）長時間パソコンの前を離れる際には、パソコンの起動を終了させて ください 会議や外出のために、長時間パソコンの前を離れる場合には、他の悪意 を持った従業員が操作したり、社外の人間が表示されている情報を覗き込 んだり、操作したりすることがないよう、必ずパソコンの起動を終了させ てください。 （６）電子データはすべて、サーバあるいは定期的なバックアップを実施 しているＰＣに保存してください パソコンのハードディスクや媒体の故障や破損、ウイルス等の不正ソフ トウエアの進入により、中に保存されている電子データを利用できなくな る危険性があります。特にハードディスクは、物理的な摩耗もあるので、 「そもそも壊れるもの」と考える必要があります。 こうしたことで、業務に支障がでることがないよう、電子データは、フ ァイルサーバ、あるいは、定期的なバックアップを実施しているＰＣに保 存してください。 - 266 - ７．送付・運搬における注意事項 個人情報等への不正アクセスや漏洩などが発生しないよう、郵送や電子 メールでの送付、持参などの送付・運搬においては、以下の事に注意して ください。 （１）電子メールを利用する場合の注意事項 １）社外の複数人に同時に電子メールを送付する場合には、ＢＣＣを利用 してください ＣＣで複数の人に送付した場合、送付した全員のメールアドレスが通知 されてしまいます。こうした事も、個人情報の漏洩となります。新聞等で メールアドレスの漏洩事故が報道されることがありますが、実は、この事 なのです。そこで、社外の複数の人間に対して、電子メールを送付する場 合には、必ずＢＣＣを利用してください。 ２）電子メールには、重要な情報は記入しないでください 電子メールは、不特定多数に閲覧される可能性が非常に高い（いわゆる 「はがき」と同じであると考えてください）送信手段です。このため、関 係者以外に知られると問題になる可能性の高い情報は、電子メールには記 述してはいけません。もし、こうした情報を電子メールで送信する必要が ある場合には、ワード等パスワードを設定することができるファイルで作 成し、電子メールに添付して送信してください。 ３）電子メールの添付ファイルには、必ずパスワードを設定してください 先の理由により、電子メールにファイルを添付する場合には、開封され ないよう、パスワードを設定してください。パスワードは事前に相手との 間で決めておくか、電話等で通知するようにしてください。 ４）電子メールで送付する場合には、到着を確認してください 送ったはずのメールが、途中で何らかの障害が発生した、あるいは相手 のサーバの故障により、開封できなかったといった問題が発生する事があ ります。さらに、メールはいつまでに届くという保証がなく、瞬時に着く 場合もあれば、まれに数日かかるようなこともあります。そこで、着信連 絡をもらうよう文面に記入するか、電話等の別の方法で着信を確認してく ださい。 - 267 - （２）ＦＡＸの利用による注意事項 １）ＦＡＸによる送付は、できるだけ避けてください ＦＡＸ番号を間違えた、あるいは古いＦＡＸ番号に送ったために他人の ところに送ってしまったという事件も多数発生しています。このため、Ｆ ＡＸによる送付はできるだけ避けてください。 ２）ＦＡＸ番号が正確・最新であることを確認してください 例えば、かなり昔に、もらった名刺のＦＡＸ番号に送付したら、全く別 の会社に届いていたといったことがないよう、ＦＡＸを送付する場合には、 ＦＡＸ番号の変更がないかを確認してください。また、ＦＡＸ番号の入力 に間違いがないかを確認するため、２人で送るようにしてください。 ３）ＦＡＸ送付後、番号確認及び到着確認をおこなってください ＦＡＸを送信後、ＦＡＸの送信レポートと、ＦＡＸ送付票の番号を照合 して間違いがないかを確認してください。さらに、ＦＡＸが相手先に到着 したことを電話で確認してください。もし、ＦＡＸ番号を間違えた、ある いは相手先に届いていないといった場合には、個人情報管理者に報告して ください。 問題がなければ、上記の確認作業の後、ＦＡＸ送信レポートに自分の印 を押して、所定のファイルに綴ってください。 （３）宅配・バイク便、郵便の利用における注意事項 １）重要情報を宅配便やバイク便、普通郵便で送付してはいけません 一般の宅配便やバイク便は、運送約款等で、重要なものは取り扱わない 事になっています。これは、補償できない程度の管理レベルであり、紛失 もあり得るという事であるとも考えられます。さらに、郵便も紛失するケ ースが増えていますので、紛失や漏洩があると当社や顧客に被害が発生す るような文書等は、送付してはいけません。 ２）重要情報は、個人情報漏洩対策等の専用便（宅配便・バイク便）や書 留を利用してください 紛失や漏洩があっても、当社や顧客に損害が発生しないものについては、 通常の宅配便やバイク便を利用しても結構ですが、重要な個人情報や大量 - 268 - の個人情報が含まれているものは、一般の宅配やバイク便を利用してはい けません。これらを送付する必要がある場合には、個人情報漏洩補償等の 専用便（宅配便・バイク便）を利用するか、書留等を利用してください。 （４）重要情報を持ち出す際には、盗難や紛失に注意してください 従業員の皆さんが、重要情報を持ち出す場合には、盗難や置忘れが発生 しないよう、十分注意してください。 重要な書類やデータを持ったまま、飲酒したり、これらを自宅に持ち帰 ることはできるだけ避けてください。 - 269 - 当財団及び当財団の会員組織が自らの体制構築や研修活動において利 用する場合を除き、本資料の複製および無断転載を禁止する。 財団法人全国中小企業情報化促進センター 東京都中央区銀座 4 丁目 10 番 5 号 三幸ビル本館 6 階 電話 03-3549-1820 - 270 -